← Cloudflare One / cloudflare-one / team-and-resources / devices / user-side-certificates

Разверните пользовательский сертификат

Клиенты с планом Enterprise, которые не хотят устанавливать сертификат Cloudflare могут загрузить в Cloudflare собственный корневой сертификат. Эту функцию иногда называют Bring Your Own Public Key Infrastructure (BYOPKI). Gateway будет использовать загруженный вами сертификат для шифрования всех сессий между конечным пользователем и Gateway, что включает все функции проверки HTTPS-трафика, ранее требовавшие сертификата Cloudflare. Вы можете загрузить в свой аккаунт несколько сертификатов, но в любой момент времени активным может быть только один. Вам также нужно загрузить закрытый ключ, чтобы перехватывать домены с помощью JIT-сертификатов и включить страница блокировки.

Можно загрузить либо корневой сертификат, либо полную цепочку сертификатов (корневой сертификат плюс промежуточные сертификаты). Загрузка цепочки сертификатов позволяет устройствам конечных пользователей устанавливать только корневой сертификат, что упрощает управление сертификатами в крупных организациях.

Можно загрузить до пяти пользовательских корневых сертификатов. Если вашей организации нужно больше пяти сертификатов, обратитесь в команду по работе с аккаунтом.

1. Откройте терминал.

2. (Необязательно) Создайте каталог для корневого CA и перейдите в него.

   mkdir -p /root/customca
   cd /root/customca

   Файлы сертификатов можно сгенерировать в любом каталоге. Этот шаг нужен только для порядка: если пропустить его, файлы будут созданы в текущем рабочем каталоге.

3. Создайте закрытый ключ для корневого CA.

   openssl genrsa -out <CUSTOM-ROOT-PRIVATE-KEY>.pem 2048

   2048 значение задаёт размер ключа RSA в битах. Вы можете использовать 4096 для повышения безопасности за счет немного более медленного установления соединения TLS.

4. Создайте самоподписанный корневой сертификат.

   openssl req -x509 -sha256 -new -nodes \
     -key <CUSTOM-ROOT-PRIVATE-KEY>.pem \
     -days 365 \
     -out <CUSTOM-ROOT-CERT>.pem \
     -addext "basicConstraints=critical,CA:TRUE" \
     -addext "keyUsage=critical,keyCertSign,cRLSign"

   -addext флаги добавляют basicConstraints и keyUsage расширения, требуемые RFC 5280 ↗ для сертификатов CA. Без них некоторые TLS-клиенты могут отклонять сертификаты, подписанные вашим собственным CA. В частности, Python 3.13 и более поздние версии по умолчанию строго соблюдают RFC 5280 (ssl.VERIFY_X509_STRICT), из-за чего запросы HTTPS завершаются ошибкой на устройствах, использующих Cloudflare One Client, если загруженный CA-сертификат не содержит эти расширения.

   -days 365 значение определяет срок действия сертификата. Более короткий срок снижает риск в случае компрометации ключа, но требует более частой ротации. Ротация уже развёрнутого сертификата BYOPKI нарушает работу, поэтому выбирайте срок действия, который уравновешивает безопасность и эксплуатационные издержки.

   Ошибка: Unknown cipher or option -addext

   Если в вашей системе используются версии OpenSSL старше 1.1.1, -addext флаг недоступен. Вместо этого используйте конфигурационный файл:

   openssl req -x509 -sha256 -new -nodes \
     -key <CUSTOM-ROOT-PRIVATE-KEY>.pem \
     -days 365 \
     -out <CUSTOM-ROOT-CERT>.pem \
     -config <(printf '[req]\ndistinguished_name=dn\n[dn]\n[v3_ca]\nbasicConstraints=critical,CA:TRUE\nkeyUsage=critical,keyCertSign,cRLSign') \
     -extensions v3_ca

5. Убедитесь, что присутствуют необходимые расширения RFC 5280:

   openssl x509 -in <CUSTOM-ROOT-CERT>.pem -noout -ext keyUsage,basicConstraints

   Вывод должен включать:

   X509v3 Basic Constraints: critical
   		CA:TRUE
   X509v3 Key Usage: critical
   		Certificate Sign, CRL Sign

   Если эти поля отсутствуют, повторно создайте сертификат с помощью команды из шага 4.

6. Чтобы просмотреть закрытый ключ, выполните следующую команду:

   openssl rsa -in <CUSTOM-ROOT-PRIVATE-KEY>.pem -text

   Чтобы просмотреть сертификат, выполните следующую команду:

   openssl x509 -in <CUSTOM-ROOT-CERT>.pem -text

Готовя сертификат и закрытый ключ к загрузке, обязательно удалите лишние символы, например несовпадающие поддомены в common name сертификата.

Можно загрузить как отдельный корневой сертификат, так и полную цепочку сертификатов. При загрузке цепочки через панель управления, API или Terraform объедините корневой сертификат и все промежуточные сертификаты в формате PEM, разместив корневой сертификат первым.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/configuration" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"settings": {
				"certificate": {
						"id": "{certificate_id}",
						"in_use": true
				}
		}
	}'

Чтобы использовать пользовательский корневой сертификат, созданный и загруженный вами в Cloudflare, см. Активируйте корневой сертификат.

Если Gateway возвращает Код ответа HTTP: 526 после развёртывания пользовательского сертификата см. Документация по ошибке Error 526.

Python 3.13 и более поздние версии включают ssl.VERIFY_X509_STRICT по умолчанию, что требует соответствия сертификатов CA требованиям RFC 5280 ↗. Если ваш сертификат BYOPKI был сгенерирован без keyUsage и basicConstraints расширений HTTPS-запросы в Python будут завершаться ошибкой, пока активен Cloudflare One Client. Чтобы решить эту проблему, создать новый пользовательский корневой CA и загрузите его в Cloudflare.