Lösung 1: Verwenden der integrierten Firmware für selbstsignierte Zertifizierungsstellenzertifikate
1. Laden Sie das integrierte CA-Zertifikat herunter
Die Firmware verfügt über ein integriertes CA-Zertifikat, der Benutzer kann das Zertifikat von der Webseite herunterladen und dann das Zertifikat in das PC-System importieren.
Gehen Sie zu Einstellung -> System -> Wartung -> Import/Export-Konfiguration, klicken Sie auf "Exportieren", um das CA-Zertifikat zu exportieren.

Das CA-Zertifikat erhält den Namen "cacert.crt".

2. Importieren Sie das CA-Zertifikat in das System des PCs
Doppelklicken Sie auf einem Windows-PC auf die Datei "cacert.crt", um die Installation zu starten.
Sie können sehen, dass die Gültigkeitsdauer des Zertifikats 10 Jahre beträgt, vom 14.08.2023 bis zum 11.08.2023.
Klicken Sie auf "Zertifikat installieren..." , um das Zertifikat zu importieren.

Wählen Sie im Import-Assistenten "Lokaler Computer" und klicken Sie dann auf "Weiter".

Wählen Sie "Alle Zertifikate im folgenden Speicher ablegen" und klicken Sie dann auf "Durchsuchen..." und wählen Sie "Vertrauenswürdige Stammzertifizierungsstellen", aktivieren Sie dann OK und fahren Sie mit dem Schritt "Weiter" fort.

Klicken Sie auf "Fertigstellen", um die Installation des Zertifikats abzuschließen.

3. Überprüfen Sie die Gerätezeit
Stellen Sie sicher, dass die Gerätezeit innerhalb des Gültigkeitszeitraums des Zertifikats liegt.
4. Gerät neu starten
Wenn die IP-Adresse des Geräts geändert wird, starten Sie das Gerät neu, damit der Browser eine "sichere" Verbindung anzeigt.

F1: Warum zeigt der Browser nach dem Ändern der Geräte-IP die HTTPS-Verbindung "Nicht sicher" an
A1: Die Firmware verfügt über eine Root-CA und einen privaten Root-CA-Schlüssel. Standardmäßig wird bei jedem Start des Geräts die Stammzertifizierungsstelle und der private Schlüssel verwendet, um ein Serverzertifikat und einen privaten Serverschlüssel entsprechend der aktuellen Geräte-IP zu generieren.
Nach dem Ändern der Geräte-IP stimmt die IP des Serverzertifikats nicht mit dem Gerät überein, dann betrachtet der Browser es als ungültiges Zertifikat, sodass die Verbindung "Nicht sicher" anzeigt.
Starten Sie das Gerät neu, damit es das Serverzertifikat und den privaten Schlüssel des Servers gemäß der neuen IP erneut generieren kann, dann zeigt die Verbindung wieder "sicher" an.
F2: Warum zeigt der Browser nach dem Importieren des in die Firmware integrierten CA-Zertifikats in das PC-System immer noch "Nicht sicher" an?
A2: Wenn Sie Ihr eigenes Serverzertifikat und Ihren privaten Serverschlüssel in das Gerät hochgeladen haben, wird Ihr Zertifikat verwendet, da Ihr Zertifikat nicht von der integrierten Zertifizierungsstelle des Geräts signiert ist, die Überprüfung fehlgeschlagen ist und die Verbindung daher "Nicht sicher" ist.
Sie können die Root-CA, die zur Generierung Ihres Zertifikats verwendet wurde, in das PC-System importieren, dann ist die Verbindung "sicher".
Lösung 2: Verwenden eines selbstsignierten Zertifizierungsstellenzertifikats
1. Erstellen eines selbstsignierten CA-Zertifikats
Installieren Sie OpenSSL auf einer virtuellen Linux-Maschine, und verwenden Sie dann die Befehle in den folgenden Schritten, um ein selbstsigniertes CA-Zertifikat zu erstellen.
Schritt 1: Generieren des privaten Schlüssels der Stammzertifizierungsstelle
Example command: openssl genrsa -out rootCA.key 2048
("rootCA.key" ist der Name des privaten Schlüssels, den Sie selbst definieren können)
Schritt 2: Verwenden Sie den privaten Schlüssel der Root-Zertifizierungsstelle, um eine Root-CA-Anforderung zu generieren.
Example Command: openssl req -new -key rootCA.key -out rootCA.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN= ipc.security.com"
("rootCA.csr" ist der Dateiname der Root-CA-Anfrage, /C = Ländercode, /ST = Provinzcode, /L = Stadtcode, /O = Organisationscode, /OU =Abteilungscode, /CN = Allgemeiner Name, es kann sich um eine IP oder einen Domänen- oder Organisationsnamen handeln)
Schritt 3: Verwenden Sie die Root-CA-Anforderung und den privaten Schlüssel der Root-CA, um die Root-CA zu generieren.
Example command: openssl x509 -req -days 365 -in rootCA.csr -signkey rootCA.key -out rootCA.crt
(365 bedeutet, dass der Validierungszeitraum dieser Zertifizierungsstelle 365 Tage beträgt)

2. Generieren Sie den privaten Schlüssel und das Serverzertifikat des Servers.
Schritt 1: Generieren des privaten Schlüssels des Servers
Example command: openssl genrsa -out server.key 2048
Schritt 2: Verwenden des privaten Serverschlüssels zum Generieren der Serverzertifikatsanforderung.
Example command: openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN=192.168.1.120" -addext "subjectAltName=IP:192.168.1.120"
(The server certificate will be uploaded the device side, the subjectAltName should be device IP or domain, or both, for example: "subjectAltName=DNS:ipc.support.com,IP:192.168.1.120")
Schritt 3: Verwenden Sie die Root-CA, den privaten Schlüssel der Root-CA und die Serverzertifikatsanforderung, um das Serverzertifikat zu generieren.
Example command: openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -sha256 -extfile <(echo "subjectAltName=IP:192.168.1.120")

3. Laden Sie das Serverzertifikat und den privaten Schlüssel des Servers auf das Gerät hoch
Gehen Sie zu Einstellung -> System -> Sicherheit -> HTTPS-Zertifikat, wählen Sie Ihr Serverzertifikat und Ihren privaten Serverschlüssel aus und klicken Sie dann auf "Hochladen".

4. Importieren Sie das selbstsignierte CA-Zertifikat in das System des PCs
Informationen zum Importieren des selbstsignierten CA-Zertifikats finden Sie unter [Importieren des CA-Zertifikats in das PC-System] in Lösung 1.
5. Ändern Sie die Geräte-IP und synchronisieren Sie die Gerätezeit
Die IP-Adresse des Geräts sollte mit der IP-Adresse im Zertifikat übereinstimmen. Wenn nicht, ändern Sie bitte die IP Ihres Geräts.
Die Gerätezeit sollte innerhalb des Gültigkeitszeitraums des Serverzertifikats liegen. Wenn nicht, ändern Sie bitte die Uhrzeit Ihres Geräts.

Lösung 3: Verwenden des Zertifikats der öffentlichen Zertifizierungsstelle
Es gibt viele öffentliche Zertifizierungsstellen wie DigiCert, Sectigo, GlobalSign usw.
Diese öffentlichen Zertifizierungsstellen werden von den gängigen Betriebssystemen und Browsern als vertrauenswürdig eingestuft, sodass sie ihre Root-CA-Zertifikate einbetten.
Wenn ein Server ein Serverzertifikat verwendet, das von der öffentlichen Zertifizierungsstelle signiert wurde, muss die Root-Zertifizierungsstelle nicht manuell in das System importiert werden.
1. Geben Sie die Informationen zur Zertifikatsanforderung ein und klicken Sie dann auf "Erstellen", um eine Zertifikatsanforderung zu generieren.
(Der allgemeine Name sollte die IP-Adresse/Domäne des Geräts sein)

2. Klicken Sie auf "Exportieren", um die Zertifikatsanforderungsdatei herunterzuladen. Die Datei hat standardmäßig den Namen "certreq.pem".

3. Senden Sie die Zertifikatsanforderungsdatei "certreq.pem" an eine öffentliche Zertifizierungsstelle, um ein Serverzertifikat zu generieren/signieren.
Hinweis: Wenn die Zertifizierungsstelle das Serverzertifikat signiert, muss das Serverzertifikat subjectAltName enthalten (z. B. "subjectAltName=DNS:ipc.support.com,IP:192.168.2.120") und die IP-Adresse/Domäne muss mit der IP/Domäne des Geräts identisch sein.
4. Wählen Sie das von der öffentlichen Zertifizierungsstelle signierte Serverzertifikat aus und klicken Sie dann auf "Hochladen", um es auf das Gerät hochzuladen.

5. Öffnen Sie den Browser erneut und greifen Sie über HTTPS auf das Gerät zu, die Verbindung zeigt "sicher" an.


F3: Die Zertifizierungsstelle stellt das Serverzertifikat gemäß meiner CSR (Zertifikatsanforderungsdatei) zur Verfügung, kann ich dieselbe Zertifikatsdatei auf andere Geräte hochladen?
A3: Nein. Das Serverzertifikat wird über eine CSR generiert, und die CSR wird über den privaten Schlüssel des Servers generiert. Wenn Sie CSR (certreq.pem) auf dem Gerät erstellen, wird zuerst ein privater Schlüssel erstellt. Jedes Mal erstellt das Gerät einen anderen privaten Schlüssel und speichert ihn darin, sodass Ihr Serverzertifikat und der private Schlüssel des Geräts ein Paar sind.
Wenn Sie das Gerät wiederherstellen, wird der vorherige private Schlüssel von ihm gelöscht, und wenn das Gerät das nächste Mal einen neuen privaten Schlüssel generiert, ist das alte Serverzertifikat, das über die alte CSR generiert wurde, nicht mehr gültig.
F4: Wie lade ich das Zertifikat der Zertifizierungsstelle auf verschiedene Geräte hoch?
A4: Wenn Sie ein Serverzertifikat von der Zertifizierungsstelle beantragen und dasselbe Zertifikat auf verschiedene Geräte hochladen möchten, verwenden Sie nicht das Gerät, um CSR zu erstellen, sondern erstellen Sie CSR und speichern Sie den privaten Schlüssel selbst, oder Sie können die Zertifizierungsstelle bitten, sowohl das Serverzertifikat als auch den privaten Serverschlüssel für Sie zu erstellen, und laden Sie dann beide Dateien auf das Gerät hoch.
F5: Wie überprüfe ich die Informationen zum Serverzertifikat auf dem Gerät?
A5:
Schritt 1. Aktivieren Sie den HTTPS-Modus und greifen Sie dann über HTTPS auf die Webseite des Geräts zu.

Schritt 2. Klicken Sie auf das Symbol "Nicht sicher" oder "Sicher" des Browsers und dann auf "Zertifikatsdetails", um die aktuellen Zertifikatsdetails zu überprüfen.


Schritt 3. Die Gültigkeitsdauer des Serverzertifikats finden Sie unter "Allgemein"

Sie finden die Server-/Geräte-IP, die diesem Serverzertifikat zugewiesen ist.
Hinweis: Die IP-Adresse des Geräts muss mit der IP-Adresse dieses Serverzertifikats übereinstimmen, da der Browser sonst diesem Serverzertifikat nicht vertraut und die HTTPS-Verbindung "Nicht sicher" anzeigt.
