Hướng dẫn tạo CSR cho Postfix trên Linux

Để cài đặt SSL tùy theo một số website thông dụng như Apache, Nginx, IIS… bạn sẽ cần 4 file sau:

• Key file/Public key/RSA key: dùng để tạo ra file CSR.
• Certificate Request (CSR): chứa thông tin của domain cần xin certificate. File này được sử dụng để gửi cho tổ chức cấp phát SSL chứng thực thông tin.
• Certificate (CRT): file này sẽ do các tổ chức cấp phát SSL kiểm tra và sau khi hoàn thành quá trình kiểm tra thông tin domain hoặc tổ chức của bạn sẽ cấp phát cho bạn.
• Intermediate Chain (CRT): file này chứa thông tin về cấu trúc của các tổ chức cấp phát SSL link tới tên miền của bạn. File này bạn có thể download tại website của các tổ chức cấp phát SSL, tùy theo từng loại certificate bạn sẽ có những Intermediate Chain riêng.Để tạo CSR cho Postfix, sau khi kết nối SSH vào server bạn có thể thực hiện theo các bước sau đây:

Kiểm tra OpenSSL

Điều kiện tiên quyết chúng ta phải có OpenSSL cài đặt trên máy chủ.

OpenSSL là một công cụ miễn phí mã nguồn mở, được sử dụng từ dòng lệnh, để tạo ra của CSR, và các chức năng mã hóa khác, trong hầu hết trường hợp, OpenSSL đã được cài đặt trên hệ thống điều hành của bạn.

Sử dụng command kiểm tra :

openssl --help

– Nếu trả về kết quả như: command not found hay shell command not found OpenSSL… hoặc bạn không được phép sử dụng lệnh này. Thì chúng ta cần phải tải về OpenSSL.

– Nếu OpenSSL đã được cài đặt thì chúng ta thực hiện bước tiếp theo.

Tạo thư mục chứa Private key và Public key (CSR):

– Thực thi command (Nếu trên server đã tồn tại thư mục này rồi thì bạn có thể bỏ qua lệnh này):

mkdir /etc/postfix/ssl

Tạo Private (RSA) key:

openssl genrsa -out /etc/postfix/ssl/private.key 2048

Tạo Public key (CSR):

openssl req -new -key /etc/postfix/ssl/private.key -out /etc/postfix/ssl/certreq.csr

Cần lưu ý các thông tin sau:

• Country code: điền tên nước (chỉ 2 ký tự).
• State or Province: điền tên tỉnh/thành phố.
• City or Locality: điền tên thành phố.
• Company name or Organization: điền tên tổ chức, công ty bằng tiếng Anh, giống y như trong giấy phép ĐKKD (nếu có).
• Organization Unit: điền tên đơn vị tổ chức.
• Common name: điền vào tên miền chính của chứng chỉ số.
• Email Address: điền thông tin email quản trị tên miền dựa theo thông tin WhoIS.

Lưu ý:

• Đối với Common name chỉ nhập một tên miền đầy đủ điều kiện (FQDN – Fully qualified domain name), ví dụ: www.company.com, mail.company.com, wiki.matbao.net … Chúng ta không nhập https://, trường hợp đăng ký cho Wildcard thì nhập theo chuẩn *.tênmiền, ví dụ: *.company.com
• Đối với Email Address thông thường thì CA sẽ yêu cầu sử dụng email dạng admin@tênmiền, ví dụ: admin@company.com, administrator@company.com …

Ví dụ minh họa từ GlobalSign:

CSR đã được tạo thành công và lưu tại địa chỉ /etc/postfix/ssl/certreq.csr.

Kiểm tra CSR

Kiểm tra lại CSR xem đã hợp lệ hay chưa bằng công cụ sau:

– Symantec CryptoReport

– SSLShopper CSR Decoder

– CSR Decoder

Gửi thông tin cho nhà đăng ký

Gửi tập tin CSR này cho Mắt Bão để đăng ký, hoặc dán vào mục CSR trong mẫu đăng ký trực tuyến.

Bạn cần lưu trữ thư mục /etc/postfix/ssl cẩn thận để có thể cài đặt chứng thư số SSL sau khi nhận được từ CA.