TLS-Zertifikat zusätzlich in NSP-Store speichern?

[Simon]

Hallo,

für den Tausch des TLS-Zertifikates habe ich mich an der Dokumentation orientiert: https://docs.nospamproxy.com/Server...t/How-tos/how-to-replace-tls-certificates.htm

Hier heißt es:
- Installation des TLS-Zertifikats auf allen GW-Rollen, Berechtigung des NSP-Services auf den Private Key
- Zusätzliche Installation des Zertifikats ohne Key auf der Intranetrolle

Das habe ich gemacht - ich konnte unter den Sende- und Empfangskonnektoren das neue Zertifikat auch auswählen. Danach habe ich analog dem Hinweis die Gateway-Rollen über das Command-Center neu gestartet.

Damit wäre ich eigentlich fertig. Paranoid wie ich bin, hab ich es noch einmal kontrolliert. Siehe da: In den Konnektoren unter Verbindungssicherheit wird das Zertifikat nicht korrekt angezeigt. Dort heißt es: Zertifikat nicht gefunden oder entfernt. Lediglich der Fingerprint wird angezeigt. In der Liste unter "Zertifikat auswählen" ist das Zertifikat allerdings vorhanden.

Nachdem ich das öffentliche Zertifikat zusätzlich noch in den Cert-Store des NSPs selbst importiert habe, passte alles wieder. Die Domain, für die das TLS-Zertifikat ausgestellt worden ist, wird nun auch angezeigt.

Daher die große Frage: Wo muss das Zertifikat auf der Gateway-Rolle denn nun importiert werden - in den Windows-Zertifikatsspeicher, den NoSpamProxy-Zertifikatsspeicher oder beides?

Viel Grüße

 

[Simon]

Ich habe gerade einmal die Gegenprobe durchgeführt und das Zertifikat aus dem Windows-Zertifikatsspeicher der Intranetrolle und aus dem Speicher des NSPs entfernt. Sobald ich es wieder in den Zertifikatsspeicher des NSPs importiert habe, konnte das Zertifikat in den Einstellungen korrekt aufgelöst werden. Würde daher behaupten, dass es auf den Gateway-Rollen den Windows-Zertifikatsspeicher benötigt und auf der Intranetrolle ausschließlich den NSP-eigenen Zertifikatsspeicher.

 

[869288141]

Guten Morgen Simon,

Wo muss das Zertifikat auf der Gateway-Rolle denn nun importiert werden - in den Windows-Zertifikatsspeicher

es reichte bis dato der Zertifikatsspeicher des Computers von Windows.

Die Doku scheint an der Stelle eine kl. Lücke zu haben. Bitte orentiere dich an dem Kommentar von Thomas:

Gelöst Beitrag im Thema 'Zertifikate für Konnektoren'

10 Oktober 2025

@wosit wurden die Berechtigungen auf den privaten Teil des Zertifikats gesetzt?
=> https://docs.nospamproxy.com/Server...t/How-tos/how-to-replace-tls-certificates.htm


Hier muss mindestens der lokale Dienst der NoSpamProxy Gatewayrolle lesend berechtigt werden. Idealerweise alle NoSpamProxy Dienste auf dem System mit der Gatewayrolle.

Wichtig das sind Dienste und nur auf dem lokalen Computer verfügbar, nicht in der Domäne!

Danach bitte noch einmal den Dienst der Gatewayrolle, nicht den ganzen Server, neu starten.

Kannst Du es dann im...

• ThomasGlöckner

• 

Alternative verwende ich ein kl. PowerShell Skript, um die Berechtigungen zu setzen:

Powershell-Skripte/NoSpamProxy/Set-CertificatePermissions at master · dwydler/Powershell-Skripte

Contribute to dwydler/Powershell-Skripte development by creating an account on GitHub.

github.com

Gruß,
Daniel

 

[Simon]

Guten Morgen Simon,

es reichte bis dato der Zertifikatsspeicher des Computers von Windows.

Die Doku scheint an der Stelle eine kl. Lücke zu haben. Bitte orentiere dich an dem Kommentar von Thomas:

Gelöst Beitrag im Thema 'Zertifikate für Konnektoren'

10 Oktober 2025

@wosit wurden die Berechtigungen auf den privaten Teil des Zertifikats gesetzt?
=> https://docs.nospamproxy.com/Server...t/How-tos/how-to-replace-tls-certificates.htm


Hier muss mindestens der lokale Dienst der NoSpamProxy Gatewayrolle lesend berechtigt werden. Idealerweise alle NoSpamProxy Dienste auf dem System mit der Gatewayrolle.

Wichtig das sind Dienste und nur auf dem lokalen Computer verfügbar, nicht in der Domäne!

Danach bitte noch einmal den Dienst der Gatewayrolle, nicht den ganzen Server, neu starten.

Kannst Du es dann im...

• ThomasGlöckner

• 

Alternative verwende ich ein kl. PowerShell Skript, um die Berechtigungen zu setzen:

Powershell-Skripte/NoSpamProxy/Set-CertificatePermissions at master · dwydler/Powershell-Skripte

Contribute to dwydler/Powershell-Skripte development by creating an account on GitHub.

github.com

Gruß,
Daniel

Moin Daniel,

danke dir für die Rückmeldung. Ich glaube allerdings, dass der Kommentar von Thomas sich ausschließlich auf die Verwaltung des Certs auf der Gateway-Rolle bezieht. Der Part was für mich soweit klar - Installation in den Windows-Zertifikatsspeicher und Berechtigung des Services auf den privaten Schlüssel. Das hatte ich auch soweit durchgeführt. Wir haben die Gateway- und Intranetrolle separiert auf eigenen VMs. Die Frage bezog sich lediglich auf die Installation des Zertifikats ohne Key auf der Intranetrolle: Ob nun auch hier der Windows-Zertifikatsspeicher verwendet wird oder der NoSpamProxy-Store.

Nachdem ich das Zertifikat auch in den NSP-Store der Intranetrolle geladen habe, ging es ja. Der Fehler kann damit nicht auf der GW-Rolle liegen.

Was die Doku angeht, gebe ich dir Recht: es wird bei der GW-Rolle explizit der Windows-Zertifikatsspeicher genannt, bei der Intranetrolle wird allerdings implizit vom NoSpamProxy eigenen Speicher ausgegangen.

VG

 

[869288141]

Hallo Simon,

Wir haben die Gateway- und Intranetrolle separiert auf eigenen VMs

So sieht es bei mir auch auch. Zusätzlich befindet sich das Web Portal ebenfalls auf einer dedizierten VM.

Die Frage bezog sich lediglich auf die Installation des Zertifikats ohne Key auf der Intranetrolle: Ob nun auch hier der Windows-Zertifikatsspeicher verwendet wird oder der NoSpamProxy-Store.

Ich habe Ende Oktober 2025 die Zertifikate auf der Intranet Rolle, Gateways und Web Portal erneuert.
Auf der VM mit der Intranet Rolle habe ich das Zertifikat für die Intranet Rolle inkl. privaten Schlüssel im Zertifikatsspeicher von Windows Server (Computer) importiert. Zusätzlich habe ich das Zertifikat für die Gateway Rolle ohne privaten Schlüssel ebenfalls in den Zertifikatsspeicher Windows Server (Computer) importiert.

Anschließend mit Hilfe des PowerShell Skripts auf allen VMs die Berechtigungen für den privaten Schöüssel setzen lassen. Danach die neuen Zertifikate den Services (WebApp, Gateway Rolle, etc.) zugewiesen. Zum Schluss alle VMs neu gestartet.


Gruß,
Daniel

 

[Simon]

Zusätzlich habe ich das Zertifikat für die Gateway Rolle ohne privaten Schlüssel ebenfalls in den Zertifikatsspeicher Windows Server (Computer) importiert.

Sicher? Die Gateway-Rollen brauchen den privaten Schlüssel. Dort terminiert ja auch die TLS-Verbindung. Die ganze Berechtigungsvergabe dreht sich um das delegieren des privaten Schlüssels.

 

[869288141]

Sicher?

Ja. Das ist meines Wissens nach aktuell noch erforderlich, wenn Intranet und Gateway Rolle auf dedizierten VMs läuft.

 

[JanJäschke]

Kurz und knapp:

Gateway Rolle: Windows Store mit Private Key und passenden Rechten

Intranet Rolle: reicht öffentlicher Schlüssel per NCC Import.

Die NCC zeigt es dir ohne den Import durch die NCC nur nicht korrekt an weil er außer dem Fingerabdruck nichts kennt. Die Infos fehlen in der Intranet Rolle.

Könnte man als kleinen bug in der Anzeige ansehen, der wird aber erstmal so bleiben