Можно ли создать новые сертификаты, аналогичные сертификатам CA, или продлить уже существующий сертификат на MikroTik для использования с SSTP?

Здравствуйте! У меня есть вопрос о работе сертификатов. Я использую маршрутизатор MikroTik с SSTP, и на нем создал сертификат CA с флагом KLAT и сертификат Server с флагом KAT. Сертификату CA присвоен срок действия 365 дней, а сертификату Server — 3650 дней. Поскольку срок действия сертификата CA скоро истечёт, могу ли я его продлить? Если нет, то как можно выпустить новый сертификат, не дожидаясь окончания действия первого, чтобы его можно было успешно импортировать на клиентские устройства? 

Также, если возможно, поделитесь, пожалуйста, ссылкой на статью, объясняющую принципы работы корневых и клиентских сертификатов, так как я еще не нашел понятного источника на эту тему.
  • 4 сентября 2024 г. 7:02
Ответы на вопрос 2
Да, в MikroTik вы можете создать новые сертификаты и управлять ими, включая корневые сертификаты (CA) и сертификаты сервера. Однако продление существующего сертификата в MikroTik не поддерживается напрямую. 

Если срок действия вашего корневого сертификата (CA) истекает, вы можете создать новый сертификат CA еще до истечения срока действия текущего. Это важно, поскольку клиентские устройства должны доверять новым сертификатам, и вы сможете импортировать их, когда они будут готовы.

### Создание нового сертификата CA

1. **Создайте новый сертификат CA** с подписями и необходимыми атрибутами, аналогично тому, что вы делали ранее. Например, вы можете использовать следующую команду:

   ```plaintext
   /certificate add name=new-cert-CA common-name="New CA" key-usage=key-cert-sign,crl-sign
   ```

2. **Подписать новый сертификат**:

   ```plaintext
   /certificate sign new-cert-CA
   ```

3. **Экспортируйте новый сертификат CA (если нужно)**, чтобы использовать его на клиентских устройствах:

   ```plaintext
   /certificate export-certificate new-cert-CA export-passphrase="your-password"
   ```

4. **Обновите клиентские устройства**: После создания нового CA замените старый сертификат CA на ваших клиентских устройствах на новый, чтобы они продолжали доверять серверам.

5. **Если необходимо, создайте новый сертификат сервера**, подписав его новым CA.

### Ссылки на материалы

Рекомендуется изучить следующие статьи и ресурсы, которые помогут лучше понять работу сертификатов на MikroTik и общие принципы:

- **Документация MikroTik**: [MikroTik Wiki (Certificates)](https://wiki.mikrotik.com/wiki/Manual:Certificates) — официальная документация, которая описывает создание и использование сертификатов на MikroTik.
  
- **Основы PKI**: [Как работает PKI (Public Key Infrastructure)](https://www.ssl.com/article/what-is-a-public-key-infrastructure-pki/) — хороший ресурс для понимания основ работы корневых и клиентских сертификатов.

Эти материалы помогут вам лучше понять процесс работы с сертификатами и их использование в MikroTik.
дата действия CA 365 дней

знатно промахнулся) лет на 20 стоило выпускать. Как только он заканчивается, то все сертификаты которые он подписал стают не валидны.

По хорошему надо все переделать с нуля.

Если нужен как-то промежуточный этап, то можна сделать кросс подпись. Выпускаем новый сертификат CA со сроком жизни 20 лет, и выпустить новый сертификат для sstp но подписать его зразу двумя сертификатами CA - это кросс подпись. Это даст тебе время обновить CA на клиентах, т.к. этому сертификату sstp будут доверять клиенты и с новим и со старым CA.
Похожие вопросы