Solución 1: Usar firmware integrado de certificado de CA autofirmado
1. Descargar certificado de CA incorporado
El firmware tiene un certificado de CA incorporado, el usuario puede descargar el certificado desde la página web y luego importar el certificado al sistema de la PC.
Vaya a Configuración -> Sistema -> Mantenimiento -> Configuración de importación/exportación, haga clic en "Exportar" para exportar el certificado de CA.

El certificado de CA se denomina "cacert.crt".

2. Importar el certificado de CA al sistema de la PC
En una PC con Windows, haga doble clic en el archivo "cacert.crt" para iniciar la instalación.
Puede ver que el período de validez del certificado es de 10 años, del 14/8/2023 al 11/8/2023.
Haga clic en "Instalar certificado..." para importar el certificado.

Seleccione "Máquina local" en el asistente de importación, luego haga clic en "Siguiente".

Seleccione "Colocar todos los certificados en la siguiente tienda", luego haga clic en "Examinar..." y seleccione "Autoridades de certificación raíz de confianza", luego marque OK y vaya al paso "Siguiente".

Haga clic en "Finalizar" para finalizar la instalación del certificado.

3. Verifique la hora del dispositivo
Asegúrese de que el tiempo del dispositivo esté dentro del período de validez del certificado.
4. Reinicie el dispositivo
Si se cambia la IP del dispositivo, reinicie el dispositivo para que el navegador muestre una conexión "segura".

P1: Después de cambiar la IP del dispositivo, ¿por qué el navegador muestra una conexión HTTPS "No segura?"
R1: El firmware tiene una CA raíz y una clave privada de CA raíz. De forma predeterminada, cada vez que se inicie el dispositivo, utilizará la CA raíz y la clave privada para generar un certificado de servidor y una clave privada de servidor de acuerdo con la IP actual del dispositivo.
Después de cambiar la IP del dispositivo, la IP del certificado del servidor no coincide con el dispositivo, entonces el navegador lo considerará como certificado no válido, por lo que la conexión mostrará "No seguro".
Reinicie el dispositivo para que pueda generar el certificado del servidor y la clave privada del servidor nuevamente de acuerdo con la nueva IP, luego la conexión se mostrará como "segura" nuevamente.
P2: Después de importar el certificado de CA incorporado en el firmware al sistema de PC, ¿por qué el navegador todavía muestra "No seguro"?
R2: Si cargó su propio certificado de servidor y clave privada del servidor en el dispositivo, usará su certificado, ya que su certificado no está firmado por la CA integrada del dispositivo, la verificación falló, por lo tanto, la conexión es "No segura".
Puede importar la CA raíz que se utilizó para generar su certificado en el sistema de PC, luego la conexión será "segura".
Solución 2: Usar certificado de CA autofirmado
1. Crear un certificado de CA autofirmado
Instale OpenSSL en una máquina virtual Linux y, a continuación, utilice los comandos de los pasos siguientes para crear un certificado de CA autofirmado.
Paso 1: Generar la clave privada de la CA raíz
Example command: OpenSSL Genrsa -Out rootCA.key 2048
("rootCA.key" es el nombre de la clave privada, que puede definir usted mismo)
Paso 2: Utilice la clave privada de CA raíz para generar una solicitud de CA raíz.
Example Command: openssl req -new -key rootCA.key -out rootCA.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN= ipc.security.com"
("rootCA.csr" es el nombre del archivo de solicitud de CA raíz, /C=código de país, /ST=código de provincia, /L=código de ciudad, /O=código de organización, /OU=código de departamento, /CN=Nombre común, puede ser IP o nombre de dominio u organización)
Paso 3: Usar la solicitud de CA raíz y la clave privada de CA raíz para generar CA raíz.
Example command: openssl x509 -req -days 365 -in rootCA.csr -signkey rootCA.key -out rootCA.crt
(365 significa que el período de validación de esta CA es de 365 días)

2. Genere la clave privada del servidor y el certificado del servidor.
Paso 1: Generar la clave privada del servidor
Example command: OpenSSL Genrsa -Out server.key 2048
Paso 2: Utilice la clave privada del servidor para generar la solicitud de certificado del servidor.
Example command: openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN=192.168.1.120" -addext "subjectAltName=IP:192.168.1.120"
(The server certificate will be uploaded the device side, the subjectAltName should be device IP or domain, or both, for example: "subjectAltName=DNS:ipc.support.com,IP:192.168.1.120")
Paso 3: Utilice la CA raíz, la clave privada de la CA raíz y la solicitud de certificado de servidor para generar el certificado de servidor.
Example command: openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -sha256 -extfile <(echo "subjectAltName=IP:192.168.1.120")

3. Cargue el certificado del servidor y la clave privada del servidor en el dispositivo
Vaya a Configuración -> Sistema -> Seguridad -> Certificado HTTPS, seleccione el certificado de su servidor y la clave privada del servidor, luego haga clic en "Cargar".

4. Importe el certificado de CA autofirmado en el sistema de la PC
Consulte [Importar el certificado de CA en el sistema de la PC] en la Solución 1 para importar el certificado de CA autofirmado.
5. Cambiar la IP del dispositivo y sincronizar la hora del dispositivo
La IP del dispositivo debe estar alineada con la dirección IP dentro del certificado. Si no es así, cambie la IP de su dispositivo.
La hora del dispositivo debe estar dentro del período de validez del certificado del servidor. Si no es así, cambie la hora de su dispositivo.

Solución 3: Usar certificado de CA público
Hay muchas autoridades de certificación públicas, como DigiCert, Sectigo, GlobalSign, etc.
Esas autoridades de certificación públicas cuentan con la confianza de los sistemas operativos y navegadores populares, por lo que incrustarán sus certificados de CA raíz.
Si un servidor usa un certificado de servidor firmado por la autoridad de certificación pública, no es necesario importar manualmente la CA raíz al sistema.
1. Ingrese la información de solicitud de certificado y luego haga clic en "Crear" para generar la solicitud de certificado.
(El nombre común debe ser la dirección IP/dominio del dispositivo)

2. Haga clic en "Exportar" para descargar el archivo de solicitud de certificado. El archivo se denomina "certreq.pem" de forma predeterminada.

3. Envíe el archivo de solicitud de certificado "certreq.pem" a una autoridad de certificación pública para generar/firmar un certificado de servidor.
Nota: Cuando la autoridad de certificación firma el certificado del servidor, el certificado del servidor debe contener subjectAltName (por ejemplo: "subjectAltName=DNS:ipc.support.com,IP:192.168.2.120") y la IP/Dominio debe ser la misma que la IP/Domian del dispositivo.
4. Seleccione el certificado del servidor firmado por la Autoridad de Certificación pública, luego haga clic en "Cargar" para cargarlo en el dispositivo.

5. Vuelva a abrir el navegador y acceda al dispositivo a través de HTTPS, la conexión se mostrará como "segura".


P3: La autoridad de certificación proporciona un certificado de servidor de acuerdo con mi CSR (archivo de solicitud de certificado), ¿puedo cargar el mismo archivo de certificado en otros dispositivos?
R3: No. El certificado del servidor se genera a través de una CSR y la CSR se genera a través de la clave privada del servidor. Cuando crea CSR (certreq.pem) en el dispositivo, primero creará una clave privada. Cada vez, el dispositivo creará una clave privada diferente y la almacenará en su interior, por lo que el certificado del servidor y la clave privada de los dispositivos son un par.
Si restaura el dispositivo, la clave privada anterior se eliminará de él, la próxima vez que el dispositivo genere una nueva clave privada, por lo tanto, el certificado de servidor antiguo generado a través de la CSR anterior ya no será válido.
P4: ¿Cómo cargar el certificado de la autoridad de certificación en diferentes dispositivos?
R4: Si desea solicitar un certificado de servidor de la autoridad de certificación y cargar el mismo certificado en diferentes dispositivos, entonces No use el dispositivo para crear CSR, sino cree CSR y guarde la clave privada usted mismo, o puede pedirle a la autoridad de certificación que cree tanto el certificado de servidor como la clave privada del servidor por usted, luego cargue ambos archivos en el dispositivo.
P5: ¿Cómo verificar la información del certificado del servidor en el dispositivo?
Respuesta 5:
Paso 1. Habilite el modo HTTPS y, a continuación, acceda a la página web del dispositivo mediante HTTPS.

Paso 2. Haga clic en el icono "No seguro" o "Seguro" del navegador, luego haga clic en "Detalles del certificado" para verificar los detalles del certificado actual.


Paso 3. El período de validez del certificado del servidor se puede encontrar en "General"

Puede encontrar la IP del servidor/dispositivo asignada a este certificado de servidor.
Nota: La dirección IP del dispositivo debe alinearse con la IP de este certificado de servidor, de lo contrario, el navegador no confiará en este certificado de servidor y la conexión HTTPS mostrará "No seguro".
