IIS 8 problem sa instalacijom SSL, nakon instalacije nestane sa liste

Ubih se sa ovim sertifikatom.

Kupio sam preko nekog naseg provajdera Comodo wildcard sertifikat.

I gledam, uputstva po netu su toliko jednostavna, ali...

Instaliram sertifikat po ovom uputstvu, prodje instalacija, fajl mi se pojavi u listi, ali ne mogu da ga povezem sa sajtom jer ga nema.
Sta se desava, koliko god ga puta instalirao, on je tu privremeno, dok ne refresujem stranicu, onda nestane.

U MMC vidim da ga ima u Certificates -> Personal, ali kao sto rekoh, ne mogu da ga izaberem za neki domen jer ga nema na listi.

Ima li neko iskustva sa ovim?

Windows server ume da pravi problem sa nekim tipovima sertifikata. Probaj da ga konvertujes OpenSSL-om i onda importujes i bindujes.

Koji tip certa je?

Sertifikat je neki Comodo, wildcard.

Taj problem sam nekako resio.
Doduse naisao sam na 20 problema razlicitih.
Bilo je nekih uputstava da treba da eksportujem iz MMC u public key, ali mi je ta opcija bila zasivljena pa nisam mogao.
Pa sam otisoa u certificate Enrollment Requests, i odatle eksportovao public key, koji sam ponovo importovao u IIS.
Nakon toga nije nestajao i mogao sam da dodelim taj sertifikat jednom od sajtova u IIS.
Nakon toga sam instalirao i ta neka dva druga Intermediate sertifikata i jedan Root.

Ali opet nije u redu. Kad se otvori u browseru taj sajt dobijam i "Privacy error" iako sam instalirao na serveru te Intermediate i Root sertifikate.

Sad postoji 2 razloga koja verujem da su problem.

1. razlog moje neznanje i lose kapiranje tih sertifikata i cemu sluze
2. razlog je da ta neka hosting kompanija koja nam hostuje sajtove, i prodaje te sertifikate je pokusala da izadje u susret, registruju kompletno cert i posalju mi fajlove koje cu instalirati na serveru. E sad, pokusali su da preskoce korak sa CSR, tako da su uradili na nekom svom serveru, posto na nasem nemaju pristup. Procedura porucivanja SSL sertifikata ne moze valjda bez CSR koda koji se kreira na samom serveru.
Dakle on je na nekom svom serveru kreirao CSR i poslao mi sertifikate. I sada moguce da oni nisu OK...

Što se tiče prvog razloga, moje neznanje, pokušaću da objasnim za šta nama treba sertifikat. Pošto sam pisao Comodo supportu, uverili su me da sertifikati tome ne služe i da to ne mogu na taj način da uradim.

Imamo nas neki development server, koji i nije u domenu. Samo je kod ove hosting kompanije.
Za nekog naseg klijenta razvijamo recimo desetak nekih web aplikacija. Kako se koja aplikacija zavrsi, tako se prebacuje kod njih na live server koji je u njihovoj nekoj Enterprise mrezi, odnosno u njihovom nekom domenu. Tako da imamo situaciju da na dva razlicita servera, u razlicitim mrezama imamo te sajtove.

Oni sad zahtevaju da svi ti sajtovi imaju https:// u linku, bilo da je u dev fazi ili live.
Da ne bismo kupovali sad posebno domen i sertifikat za svaku aplikaciju, kupili smo jedan domen, sertifikat za taj domen, i wildcard za sve domene, tako da ce sada te aplikacije biti
app1.nekidomen.at
app2.nekidomen.at
app3.nekidomen.at
...

Moje neko resenje, a i u razgovoru sa ovom hosting kompanijom, bilo je da se dakle kupi wildcard sertifikat.

I posto sam razgovarao sa Comodo supportom, rekli su mi da to ne moze.

Da ti serveri, dev i live, moraju da budu u istom domenu .nekidomen.at, i da na njih mogu da instaliram sertifikate i da to nema nikakve veze sa ovim sajtovima i problemom... O.o
Od tad sam totalno zbunjen, i pojma nemam kako da resim problem.


Nas dev server nije u domenu nikakvom, odnosno dev.blabla.local je, a taj live server je u ko zna kom domenu, nemam ni pristup njemu.

Kako prosto da nateram da svi ovi sajtovi imaju https:// ?

Nisam siguran u cemu je tacno problem ?

Wildcard certificte ti je za jedan domen i neogranicen broj servera i subdomena.
app1.nekidomen.at
app2.nekidomen.at
app3.nekidomen.at
...
i tu se prica sa wildcard-om zavrsava.

Npr.: ovi
https://www.digicert.com/wildcard-ssl-certificates.htm

razumem sta je wildcard

Dakle nebitno na kom serveru su mi sajtovi, kako god da se zove server, ja mogu da hostujem sajtove na njemu sa vise razlicitih domena, i da za svaki imam po wildcard?
U ovom slucaju mi je potreban samo za jedan domen, odnosno njegove poddomene sertifikat, za ostale sajtove sa drugim domenima za sada ne.

Pazi nema veze kako ti se interno zovu serveri, vec domain koji registrujes, npr. "peraperic.com". Taj domain vezujes za IP tvog servera. U istoj admin aplikaciji za domene, mozes besplatno da kreiras sub-domene (u glavnom). Onda izaberes provajdera za ssl, narucis ssl sertifikat koji vazi samo za taj domen, a ako je wildcard i na subdomene.

Pazi ni ja ovo ne znam detaljno, uvek taj deo rade sysadmini, nije lose da se jos neko javi...

EDIT: pre nekoliko nedelja sam cuo za ove : https://letsencrypt.org/ non profit organizaciju koja daje ssl dzabe ili za donaciju, a cuo sam da nisu indijanci

Kod više domena na jednom serveru možeš imati jedan zez o kojem moraš voditi računa - kada hostuješ klasične http sajtove ili web aplikacije na IIS-u, a sam server ima samo jednu IP adresu, možeš hostovati više njih sve dok se razlikuju ime i/ili port svakog od njih (dakle ili da port uvek bude 80 a svaki "prozivaš" isključivo po imenu, ili ako im pristupaš po IP adresi onda da svaki bude na nekom drugom jedinstvenom portu). Kod SSL-a, odnosno https-a ovo sa imenom i istom IP adresom neće moći, jer sav saobraćaj na server dolazi kriptovan i IIS neće znati gde da ga usmeri dokle god se ne dekritpuje pomoću sertifikata, a da bi znao koji sertifikat da iskoristi za dekriptovanje mora znati tačno o kom se domenu radi (otprilike "kvaka 22" varijanta), znači onda ili svaki domen mora imati svoju jedinstvenu IP adresu na serveru (što znači da server mora imati dovoljan broj fizičkih ili virtuelnih mrežnih adaptera), ili port mora biti različit za svaki domen (što baš i nije praktično za klijente).

E sad, u ovom tvom slučaju imaš jedan domen sa gomilom poddomena, i wildcard sertifikat koji ih sve pokriva, tako da bi kod tebe trebalo da može da prođe scenario "jedan server, jedan IP, jedan sertifikat, mnogo domena" jer gde god da IIS pošalje paket, dekriptovaće ga ispravan sertifikat i u suštini završiće gde treba. Ali ako se jave "gremlini", ili ako budeš morao da instaliraš još jedan sertifikat na isti server, otprilike ćeš znati gde je u pozadini koren problema...

Buni te to sto su Windows domen lokalno u mrezi i domen koji kupis za koriscenje na netu 2 potpuno razlicite stvari.

Prosto samo im turis sertifikat. I dobro si sve razumeo. Wildcard je *.domen.ex i dakle mozes da pravis sta god oces ".domen.ex", i da koristis isti sertifikat na kolko hoces razlicitih servera.

Ono sto si pitao za CSR je tacno. Moze da se napravi bilo gde, samo moraju da imaju sve potrebne podatke (common name, organization, city...).



To je proslost. Sada postoji nesto sto se zove SNI - mada je i ovo zastarelo. Dakle hostname se salje u plaintext-u kako bi server znao koji cert da koristi itd.

Pa to me buni, jer mi je Comodo support to tako objasnio.
Sve kao sto sam ovde napisao, lik mi je rekao "to tako ne funkcionise, mozes da instaliras sertifikat na recimo fileserver.nekidomen.at, i onda da iskoristis public key za neki drugi server u istom domenu, recimo mail.nekidomen.at, ili exchange.nekidomen.at, i to je to..."
Zato sam sad skroz zbunjen.

Poslao sam ovima moj CSR da mi posalju nove sertifikate da ih instaliram ispocetka. Tada ce valjda biti OK.

Rekoh u prvom postu da sam uz neka budzenja uspeo da instaliram sertifikate, ali kad otvorim taj link, dobijam

Ne razumem ni ja.