Warum ein RCCMD scheinbar nicht richtig kommunizieren will – SSL TLS ON / OFF

Kommunikation RCCMD <-> CS141 funktioniert nicht wie erwartet

Auch wenn alles korrekt eingerichtet wurde, scheint RCCMD manchmal einfach die Kommunikation zu verweigern.

Grundsätzlich gibt es dafür zwei mögliche Ursachen:

1. SSL/TLS ist nicht korrekt aktiviert
2. Nicht synchronisierte Zertifikate

1. Unter Connections ist SSL/TLS nicht auf beiden Endpunkten gleich eingerichtet:

Accept only TLS connections muss auf allen Endpunkten entweder EIN oder AUS sein. Andernfalls kommuniziert eine Seite unverschlüsselt, was die andere Seite dann ablehnt.

In RCCMD:

Im CS141 WEBMANAGER:

2. Nicht synchronisierte Zertifikate

Diese Datei befindet sich im RCCMD-Installationsordner:

Dies ist nicht die PEM-Datei für das Webinterface, sondern das Zertifikat für die Kommunikation CS141 <-> RCCMD oder andere RCCMD-Installationen im Netzwerk. Für TLS / SSL muss das Zertifikat bei allen Teilnehmern identisch sein. Wenn du es an einem Gerät geändert hast, musst du das bei allen anderen ebenfalls tun.

Austausch mit RCCMD

Benenne die rccmd.pem in rccmd.pem1 um und kopiere dein Zertifikat als PEM-Datei an diesen Ort. Benenne deine Datei danach in rccmd.pem um. Starte RCCMD neu.

Austausch mit einem CS141

Benenne deine PEM-Datei in rccmd.pem um und ziehe sie in das dafür vorgesehene Upload-Feld. Drücke Upload. Der CS141 importiert und aktiviert die Datei automatisch.

Tipp:

Dies gilt nicht für die Broadcast-Kommunikation.

Der folgende Artikel befasst sich mit den Einstellungen zur Broadcast-Kommunikation: Broadcast-Signale werden bei RCCMD nicht empfangen

TLS ist die Abkürzung für Transport Layer Security und ermöglicht eine verschlüsselte Verbindung zwischen zwei IT-Systemen. Die Methode ist immer gleich, egal ob es sich um die Kommunikation zwischen einem Webbrowser und einem Server, zwei Infrastrukturgeräten oder einem Infrastrukturgerät und einem Server handelt. Während des Handshakes wird geprüft, ob Sender und Empfänger wirklich die sind, die sie vorgeben zu sein. Beide Endpunkte verschlüsseln anschließend ihre Kommunikation mit den verfügbaren Zertifikaten.

Da sich die Endpunkte bei diesem Vorgang gegenseitig identifizieren, wird es für einen Hacker schwieriger, die Verbindung anzugreifen oder zu manipulieren.

Wie ein Zertifikat funktioniert

Ein SSL-Zertifikat besteht grundsätzlich aus zwei Teilen: einem öffentlichen Schlüssel und einem privaten Schlüssel. Der private Schlüssel wird zum Verschlüsseln von Daten verwendet, der öffentliche zum Entschlüsseln. Der öffentliche Schlüssel wird nach dem Handshake dem jeweiligen Empfänger auf Anfrage übermittelt.

Ab jetzt gibt es verschiedene mögliche Szenarien:

• Das Zertifikat ist gültig.
• Das Zertifikat ist ungültig, widerrufen oder beschädigt.
• Das Zertifikat ist abgelaufen.
• Das Zertifikat ist grundsätzlich gültig, aber seine Echtheit kann nicht bestätigt werden.
• …

Ab diesem Punkt hängt die weitere Kommunikation oft von der individuellen Konfiguration der beteiligten Systeme ab:

SSL/TLS-Webbrowser-Meldung: „Ihre Verbindung ist nicht sicher“

Der Grund ist, dass RCCMD für das Webinterface ein eigenes Standardzertifikat mitliefert, das mehrere Eigenschaften erfüllt:

• Gültiger Zeitstempel
• Nicht von einer CA widerrufen
• Voll funktionsfähig
• Grundsätzlich gültig…

Aber: Da es sich um ein internes Zertifikat handelt, kann es aus offensichtlichen Gründen keine Signatur geben, die einem Webbrowser bestätigt, dass er wirklich mit genau dem RCCMD-Server kommuniziert, der angegeben wird.

Genau das bemängelt der Webbrowser und weist auf eine theoretische Gefahr hin. Ein Nutzer muss diese Meldung bestätigen und aktiv fortfahren. Der Browser zeigt dann das Webinterface an, aber weiterhin den Hinweis auf einen unsicheren Bereich.

Neuere Versionen von RCCMD bieten eine bequeme Möglichkeit, ein gültiges Unternehmenszertifikat als standardisierte PEM-Datei hochzuladen.

Unter Network Configuration die Datei auswählen und auf Upload klicken.

RCCMD importiert und aktiviert das neue Zertifikat automatisch. Falls die Meldung weiterhin erscheint, bedeutet das lediglich, dass der Browser mit dem neuen Zertifikat nicht klarkommt.

Hinweis:

Ein vollständiges Tutorial zur Erstellung von PEM-Dateien findest du im folgenden Artikel: Creating a certificate and key