Quelltext der Seite PfSense - ACME-Zertifikate auf anderen Server kopieren

<u>Changelog:</u>
* 15.06.2024 erste Version
----
==Vorwort==
Ich liebe den pfSense ACME-Service (im Package Manager installierbar).<br>
In diesem kann ich bequem den Abruf von Zertifikaten auch per DNS-Challange und über die IONOS-API einrichten.<br>
Auf Wunsch werden die Zertifikate auch noch mal separat im Ordner<br>
 /conf/acme
auf der pfSense gespeichert um diese auch woanders verwenden zu können.<br>
Am einfachsten an diese Zertifikate heran zu kommen, ist diese zu pushen, also von der pfSense aus automatisch auf das andere System kopieren zu lassen.<br>
----
==Das Erstellen der zusätzlichen Zertifikatsdateien aktivieren==
Wir aktivieren den Punkt {{Key|Write Certificates}}:<br>
:[[Datei:ClipCapIt-240615-124651.PNG]]<br>
----
==SSH Key erzeugen==
Wir melden uns per SSH an der pfSense an (Benutzer admin):<br>
:[[Datei:ClipCapIt-240615-124947.PNG]]<br>
und wählen Option 8.<br>
Dann geben wir den Befehl
 ssh-keygen ein, die Passphrase lassen wir leer:
:[[Datei:ClipCapIt-240615-125211.PNG]]<br>
Nun können wir uns den '''''Public Key''''' anzeigen lassen:<br>
 cat /root/.ssh/id_rsa.pub
:[[Datei:ClipCapIt-240615-125436.PNG]]<br>
Die Ausgabe kopieren wir uns in die Zwischenablage.<br>
Wir Melden uns am Zielsystem per SSH an - mit dem Benutzer unter dem die Dateien abgelegt werden sollen - und bearbeiten die Datei
 nano ~/.ssh/authorized_keys2
dort fügen wir den zuvor kopieren Schlüssel in einer neuen Zeile ein und speichern die Datei.<br>
<br>
Das testen wir nun indem wir uns von der pfSense aus an diesem Server anmelden. Beim allerersten mal fragt er ob der Fingerprint gespeichert werden soll - was wir bejahen:<br>
:[[Datei:ClipCapIt-240615-125852.PNG]]<br>
Wenn Ihr euch einmal mit <code>exit</code> wieder trennt und noch mal neu verbindet sollte es ohne Nachfrage geschehen.<br>
----
==Kopieren testen==
{{Hinweis| Diese Variante kopiert jedes mal alle vorhandenen Zertifikate!}}
Auf dem Zielsystem müsst Ihr den gewünschten Zielpfad anlegen, dazu also per SSH am Zielsystem angemeldet sein!<br>
 mkdir -p /pfsensemeisenweg1/acme/
Nun können wir von der pfSense aus testen ob wir die Dateien dorthin schieben können:<br>
 scp -r -i /root/.ssh/id_rsa /conf/acme root@192.168.1.2:/pfsensemeisenweg1/
:[[Datei:ClipCapIt-240615-130250.PNG]]<br>
Die Parameter:<br>
 scp                      : der Kopierbefehl
 -r                       : Rekursiv, also inklusive eventueller Unterverzeichnisse
 -i /root/.ssh/id_rsa     : Benutze zur Anmeldung folgenden privaten Schlüssel
 /conf/acme               : Quellordner der kopiert werden soll (also dessen Inhalt)
 root@                    : Benutzer auf dem Zielsystem
 192.168.1.2:             : DNS-Name oder IP des Zielsystems, gefolgt von einem :
 /pfsensemeisenweg1/      : Zielpfad (unterhalb dessen der Quellordner samt Dateien eingefügt wird)
Der Befehl überschreibt jedes mal, löscht aber nichts!
----

==Befehl bei den Zertifikatsanforderungen hinterlegen==
Unter
 Service => Acme Certificates => Certificates
sehen wir die einzelnen Zertifikatsanforderungen.<br>
Ganz unten bei einer Anforderung gibt es die '''Action list''', dort fügen wir unseren scp Befehl als neues {{Key|Shell Command}} ein:<br>
:[[Datei:ClipCapIt-240615-131028.PNG]]<br>
<br>
Das kopieren wird nun jedes mal ausgeführt wenn das Zertifikat erneuert wurde.<br>
----
==Nicht alle sondern nur ein bestimmtes Zertifikat kopieren==
Um nur ein Zertifikat zu kopieren könnte Ihr den Befehl wie folgt abwandeln:<br>
 scp -i /root/.ssh/id_rsa /conf/acme/pfsensemeisenweg1.znil.org* root@192.168.1.2:/pfsensemeisenweg1/acme/
Also das <code>-r</code> weglassen, den Namen des Zertifikates ohne die Dateiendungen, gefolgt von einem <code>*</code><br>
Diesen Befehl fügt Ihr dann statt dessen als {{Key|Shell Command}} bei der Zertifikatsanforderung ein.<br>
So könnte Ihr die Zertifikate auch einzeln auf verschiedene Server kopieren.<br>
----
==Auf dem Zielserver eine Aktion auslösen nachdem kopiert wurde==
Ich kopieren in meinem Fall die Zertifikate auf einen Apache2 Webserver der dieses Zertifikate dann verwendet.<br>
Dieser muss nach dem Kopieren einmal neu gestartet werden damit er die neuen Zertifikate übernimmt.<br>
Das können wir wiederum als {{Key|Shell Command}} dahinter dranhängen:<br>
 ssh -i /root/.ssh/id_rsa root@192.168.1.2 "systemctl restart apache2.service"
----
==Das Zertifikat in ISPConfig verwenden==
Ich nutze gerne ISPConfig für meine Webserver da ich so leicht eine neue Subdomäne anlegen lassen kann. Und die dann auch gleich unter einem jeweils eigenen Benutzer läuft.<br>
In ISPConfig unter '''Sites''' in den Einstellungen der entsprechenden Domäne, auf dem reiter {{Key|Domain}} setzen wir den Haken bei SSL:<br>
:[[Datei:ClipCapIt-240616-153143.PNG]]<br>
Wer will kann auch gleich auf dem Reiter {{Key|Redirect}} den Haken bei der Umleitung auf SSL setzen:<br>
:[[Datei:ClipCapIt-240616-153352.PNG]]<br>
Auf dem Reiter {{Key|SSL}} ganz unten stellt Ihr die '''SSL Action:''' auf '''''Create certificate''''':
:[[Datei:ClipCapIt-240616-153804.PNG]]<br>
Wenn Ihr die Einstellungen nun speichert und warten das ISPConfig mit der Verarbeitung fertig ist (der rote Kreis mit Zahl neben dem Suchenfeld oben ist wieder verschwunden), könnte ihr wieder in die Einstellungen gehen und auf den Reiter {{Key|SSL}} wechseln. Dort sollte dann in den Feldern für das Zertifikat etwas drin stehen:<br>
:[[Datei:ClipCapIt-240616-153940.PNG]]<br>
Die Webseite sollte nun per SSL aufrufbar sein, jedoch mit dem selbst signiertem Zertifikat.<br>
Nun meldet euch per SSH an eurem ISPConfig-Server an und gebt folgenden Befehl ein:
 cat /etc/apache2/sites-available/nextcloud.znil.org.vhost | grep SSLCertificate
In diesen Fall ist '''''nextcloud.znil.org''''' der Name der Site die ich angelegt habe.<br>
Der Befehl spuckt euch die Pfade zu den verwendeten Zertifikatsdateien aus:<br>
                SSLCertificateFile /var/www/clients/client0/web23/ssl/nextcloud.znil.org.crt
                SSLCertificateKeyFile /var/www/clients/client0/web23/ssl/nextcloud.znil.org.key
                SSLCertificateFile /var/www/clients/client0/web23/ssl/nextcloud.znil.org.crt
                SSLCertificateKeyFile /var/www/clients/client0/web23/ssl/nextcloud.znil.org.key
Bei mir tauchen die Zeilen doppelt auf da ich eine IPv4 und eine IPv6 Konfiguration habe, ansonsten gäbe es nur 2 Zeilen.<br>
Zufällig gehören diese Dateien auch immer dem root:
 -rw-r--r-- 1 root root 1,9K Jun 16 15:39 /var/www/clients/client0/web23/ssl/nextcloud.znil.org.crt
 -rw-r--r-- 1 root root 1,7K Jun 16 15:39 /var/www/clients/client0/web23/ssl/nextcloud.znil.org.csr
 -r-------- 1 root root 3,2K Jun 16 15:39 /var/www/clients/client0/web23/ssl/nextcloud.znil.org.key
Um die Zertifikate einzubinden stehen und nun 3 Möglichkeiten zur Verfügung, alle haben Ihre Vor- und Nachteile.<br>
Bei allen Varianten muss der Apache2 einmal neu gestartet werden wenn die Zertifikate ausgetauscht wurden.<br>
===Variante 1: Überschreiben===
Wir überschreiben die Dateien mit den von der pfSense gelieferten Daten:
 cp /pfsensemeisenweg1/acme/Wildcard_Meisenweg.key /var/www/clients/client0/web23/ssl/nextcloud.znil.org.key
 cp /pfsensemeisenweg1/acme/Wildcard_Meisenweg.crt /var/www/clients/client0/web23/ssl/nextcloud.znil.org.crt
Das müssen wir dann aber jedes mal machen, also in die Action-Liste der Zertifikatsanfordern auf der pfSense mit aufnehmen!<br>
Solange Ihr das Zertifikat in den ISPConfig-Einstellungen der Site nicht verändert (also bei der SSL-Action es immer auf '''none''' stehen lasst, sollte es auch nicht überschrieben werden.<br>
===Variante 2: Verlinken===
Wir löschen die beiden Dateien:
 rm /var/www/clients/client0/web23/ssl/nextcloud.znil.org.key /var/www/clients/client0/web23/ssl/nextcloud.znil.org.crt
und ersetzen diese mit einem Link auf die Dateien von der pfSense:
 ln -s /pfsensemeisenweg1/acme/Wildcard_Meisenweg.key /var/www/clients/client0/web23/ssl/nextcloud.znil.org.key
 ln -s /pfsensemeisenweg1/acme/Wildcard_Meisenweg.crt /var/www/clients/client0/web23/ssl/nextcloud.znil.org.crt
Hinterher sieht das Verzeichnis dann so aus:<br>
 insgesamt 12K
 drwxr-xr-x  2 root root 4,0K Jun 16 15:56 ./
 drwxr-xr-x 11 root root 4,0K Jun 16 15:33 ../
 lrwxrwxrwx  1 root root   46 Jun 16 15:56 nextcloud.znil.org.crt -> /pfsensemeisenweg1/acme/Wildcard_Meisenweg.crt
 -rw-r--r--  1 root root 1,7K Jun 16 15:39 nextcloud.znil.org.csr
 lrwxrwxrwx  1 root root   46 Jun 16 15:55 nextcloud.znil.org.key -> /pfsensemeisenweg1/acme/Wildcard_Meisenweg.key
Ich habe hier symbolische Links gewählt weil man dann sehen kann wo das Original liegt, man hätte auch harte Links nehmen können (das <code>-s</code> weglassen).<br>
Solange Ihr das Zertifikat in den ISPConfig-Einstellungen der Site nicht verändert (also bei der SSL-Action es immer auf '''none''' stehen lasst, sollte es auch nicht überschrieben werden.<br>

===Variante 3: Die .vhost Datei ändern===
Ihr ersetzt in der .vHost Datei der Webseite die Pfade zum Zertifikat:<br>
 SSLCertificateFile /var/www/clients/client0/web23/ssl/nextcloud.znil.org.crt
 SSLCertificateKeyFile /var/www/clients/client0/web23/ssl/nextcloud.znil.org.key
ersetzen durch
 SSLCertificateFile /pfsensemeisenweg1/acme/Wildcard_Meisenweg.crt
 SSLCertificateKeyFile /pfsensemeisenweg1/acme/Wildcard_Meisenweg.key
Nachteil ist, das wenn Ihr etwas in den Site-Einstellungen unter ISPConfig ändert, wird diese Änderung auch jedes mal überschrieben.<br>
----

==Windows Server als Ziel==
Wenn es sich um mindestens Windows Server 2019 handelt, könnt Ihr die Dateien auch dorthin kopieren.<br>
===OpenSSH Server aktivieren===
Auf dem Windows-Server geht Ihr auf<br>
 Einstellungen => Apps => Optionale Features verwalten
bzw. bei Server 2022 auf
 Einstellungen => Apps => Optionale Features
:[[Datei:ClipCapIt-240615-133851.PNG]]<br>
Im Dialog danach wählt Ihr
 Feature hinzufügen
und wählt aus der Liste den '''OpenSSH-Server''':
:[[Datei:ClipCapIt-240615-134028.PNG]]<br>
Sobald dieser Installiert ist, ruft die die Dienste auf, sucht den Dienst und stellt diesen um auf "Automatischer Start" und startet diesen auch gleich:<br>
:[[Datei:ClipCapIt-240615-134351.PNG]]<br>
===Public Key hinterlegen===
Im Profil des Benutzers den Ihr für die Anmeldung verwenden wollt erstellt Ihr den Ordner
 C:\Users\Manfred\.ssh
Wenn das über den Dateiexplorer nicht geht so macht es per CMD.
 mkdir C:\Users\Manfred\.ssh
dort erstellt Ihr die Textdatei
 authorized_keys
(ohne Dateiendung!) und kopiert wieder den Inhalt aus der '''''id_rsa.pub''''' hinein (wie beim Linux Rechner aus).<br>
Weitere Informationen dazu findet Ihr unter:
* https://learn.microsoft.com/de-de/windows-server/administration/openssh/openssh_keymanagement
* https://gist.github.com/adamelliotfields/16dfac1bacf6d2eeada0582fdfbbb7b6
Wenn der Benutzer Administrator ist, kann es sein das Ihr die Daten in die Datei
 C:\ProgramData\ssh\administrators_authorized:keys
kopieren müsst, ggf. erstellen.<br>
----

===Zugriff Testen===
von der pfSense aus:<br>
 ssh -v -i /root/.ssh/id_rsa ZNIL\\manfred@192.168.128.91
Versucht es als Benutzer
 ZNIL\MANFRED
Ja, in der Befehlszeile müsst Ihr 2x <code>\</code> einfügen. Alternativ könntet Ihr auch
 ssh -v -i /root/.ssh/id_rsa manfred@znil.local@192.168.128.91
schreiben.<br>
Ihr solltet in einer Eingabeaufforderung landen, Wiederum müsst Ihr einmalig den Host-Key akzeptieren
Bei Problemen:<br>
Auf der Seite der pfsense könnte ihr den ssh-Befehl um ein
 -v
ergänzen, dann erzählt er mehr, auf der Windows-Server Seite könnte Ihr den OpenSSH Dienst beenden und in einer Eingabeaufforderung
 C:\Windows\System32\OpenSSH\sshd -d
starten. Nach jeder Verbindung oder Fehler beendet sich der manuell gestartete Server auf der Windows Seite aber wieder und muss neu gestartet werden.<br>
Hilfreich ist gerade das Serverlog, da könnt Ihr dann auch sehen in welchen Dateien er es probiert.<br>
----

===Dateien kopieren===
 scp -i /root/.ssh/id_rsa /conf/acme/pfsensemeisenweg1.znil.org* ZNIL\\manfred@192.168.128.91:/C:/acme/
kopiert in diesem Fall die Dateien des einen Zertifikates nach
 C:\acme
----
===Befehl unter Windows ausführen lassen===
Um unter Windows z.B. einen Dienst neu zu starten:
 ssh -i /root/.ssh/id_rsa ZNIL\\manfred@192.168.128.91 "net stop spooler && net start spooler"
startet die Druckwarteschlange neu (Benutzer muss Admin-Rechte haben),
 ssh -i /root/.ssh/id_rsa ZNIL\\manfred@192.168.128.91 "C:\acme\test.cmd"
startet das Skript
 C:\acme\test.cmd
----
===Exchange Zertifikat austauschen lassen===
Gemäß vorheriger Anleitung schafft Ihr es, das Zertifikat auf euren Exchange Server zu kopieren.<br>
Ich habe mir nun ein PowerShell-Skript geschrieben welches den Import durchführt.<br>
Das Skript ist ein Abwandlung von Importskirpt für SOPHOS Zertifikate von Frankys Web: https://www.frankysweb.de/en/export-sophos-utm-certificate-of-the-waf-using-powershell-exchange-version/
Es funktioniert - aber nicht wenn es remote per SSH ausgeführt wird, dann gibt es einen Fehler:<br>
 C:\Skripte\Import-pfSenseCertificate2Exchange.ps1 : Can't find current Exchange certificate: Fehler bei Active
 Directory-Vorgang auf . Die angegebenen Anmeldeinformationen für 'ZNIL\Manfred' sind ungültig.[0]
     + CategoryInfo          : NotSpecified: (:) [Write-Error], WriteErrorException
     + FullyQualifiedErrorId : Microsoft.PowerShell.Commands.WriteErrorException,Import-pfSenseCertificate2Exchange.ps1
Da er mit den Anmeldeinformationen per SSH scheinbar nicht die notwendigen Änderungen im Active Directory durchführen kann.<br>
<br>
Die Lösung ist, das nachfolgende Skript per Aufgabenplanung auszuführen.<br>
In der pfSense ist beim Acme-Services folgendes Konfiguriert:<br>
:[[Datei:ClipCapIt-250706-175703.PNG]]<br>
Er probiert also jeden Tag um 03:16 Uhr die Zertifikate zu erneuern (schaut nach ob bei euch ggf. ein anderer Wert steht).<br>
Wenn ich also das PowerShell-Skript 5 Minuten später laufen lassen, also um 03:21 Uhr, sollten mein Apache Proxy und der Exchange Server maximal 4 bis 5 Minuten mit unterschiedlichen Zertifikaten laufen.<br>
Eventuell fällt mir (oder jemand von euch) eine bessere Lösung ein.<br>
<br>
Das Skript {{code|Import-pfSenseCertificate2Exchange.ps1}} liegt unter<br>
 C:\Skripte\
lokal auf dem Exchange Server, Inhalt:<br>
<syntaxhighlight lang="PowerShell" line copy>
$PFSENSECertFile = 'C:\acme\email.linz.email.crt'
$PFSENSEKeyFile = 'C:\acme\email.linz.email.key'
$PFXFileNameAndPath = 'C:\Skripte\email.linz.email.pfx'
$PFXFilePassword = "irgendetwas2025"
$CertDisplayNameInExchange = "LetsEncrypt"

#Setup
$OpenSSLPath = "C:\Program Files\OpenSSL-Win64\bin\openssl.exe"
$OpenSSLPassword = "pass:" + $PFXFilePassword

#Build PFX File from certificate and key
try
	{
		Write-Warning "Convert Cert and Key to PKCS12"
		#$PFXFileNameAndPath = "$PFXFilePath" + "\" + "$CertREF" + ".pfx"
        # Write-Warning $OpenSSLPath pkcs12 -export -in $PFSENSECertFile -inkey $PFSENSEKeyFile -out $PFXFileNameAndPath -password $PFXFilePassword
		. $OpenSSLPath pkcs12 -export -in $PFSENSECertFile -inkey $PFSENSEKeyFile -out $PFXFileNameAndPath -password pass:$PFXFilePassword
	}
catch
	{
		write-error "Error building PFX File: $Error[0]"
	}


#Get New cert serial number
try
	{
  		# $UTMCertResponse.certificate | set-content $PFSENSECertFile
		# $UTMCertResponse.key | set-content $PFSENSEKeyFile
        $NewCertSerialTemp = (. $OpenSSLPath x509 -noout -serial -in $PFSENSECertFile)
        Write-Host $NewCertSerialTemp
        $NewCertSerial = $NewCertSerialTemp.split("=")[1].ToUpper().Trim()
		Write-Host "New Cert Serial: $NewCertSerial"
	}
catch
	{
		write-error "Can't find serial number of New certificate: $Error[0]"
		exit
	}

#Get current Exchange Server certificate
try
	{
		write-warning "Get current Exchange Server Certificate"
		Import-Module -Name WebAdministration
		Add-PSSnapin Microsoft.Exchange*
		$AllIISCerts = Get-ChildItem IIS:SSLBindings
		foreach ($IISCert in $AllIISCerts)
		 {
		  if ($IISCert.sites.value -match "Default Web Site") {$IISThumbprint = $IISCert.Thumbprint}
		 }
		$CurrentExchangeCert = Get-ExchangeCertificate -Thumbprint $IISThumbprint
		$CurrentExchangeCertSerial = $CurrentExchangeCert.SerialNumber
		write-warning "Exchange Cert Serial: $CurrentExchangeCertSerial"
	}
catch
	{
		write-error "Can't find current Exchange certificate: $Error[0]"
		exit
	}

#Test if current Exchange Cert matches our new Cert
try
	{
		if ($CurrentExchangeCertSerial -eq $NewCertSerial)
		 {
			Write-Warning "Current Exchange certificate matches New certificate: Nothing to do!"
			$ExchangeCertChangeRequierd = $false
		 }
		else
		 {
			write-warning "New Cert dosen't match current Exchange certificate!"
			$ExchangeCertChangeRequierd = $true
		 }
	}
catch
	{
		write-error "Don't know if cert change is requierd: $Error[0]"
		exit
	}


#If needed: lets try to change the Exchange Server certificate
if ($ExchangeCertChangeRequierd -eq $true)
	{
	 try
		{
			Write-Warning "Let's try to change the certificate"
            #UNC Pfad verwenden statt lokalem Pfad
			$CertFilePath = "\\" + $env:computername + "\" + $PFXFileNameAndPath.Replace(":","$")
            #Passwort umwandeln:
            $securePassword = ConvertTo-SecureString $PFXFilePassword -AsPlainText -Force

			$ImportCert = Import-ExchangeCertificate -FileData ([System.IO.File]::ReadAllBytes($CertFilePath)) -Password $securePassword -PrivateKeyExportable:$true -FriendlyName "$CertDisplayNameInExchange"
			$EnableCert = Get-ExchangeCertificate | where {$_.SerialNumber -eq $NewCertSerial} | Enable-ExchangeCertificate -Services POP,IMAP,SMTP,IIS -force
			$ChangeSuccessfull = $true
			write-warning "Change Sucessfull: $ChangeSuccessfull"
		}
	 catch
		{
			write-error "Can't change certificate: $Error[0]"
			exit
		}
	}
if ($ExchangeCertChangeRequierd -eq $false)
	{
	 Write-Warning "No certificate change needed"
	 exit
	}

#Remove the old Exchange server certificate if change was successfull
if ($ChangeSuccessfull -eq $true)
	{
	 try
		{
			Write-Warning "Removing old certificate"
			$RemoveCert = Remove-ExchangeCertificate -Thumbprint $IISThumbprint -Confirm:$false
		}
	catch
		{
			write-error "Can't remove old certificate: $Error[0]"
			exit
		}
	}
</syntaxhighlight>
Anpassen müsst Ihr die ersten 3 Zeilen, bei<br>
 $PFSENSECertFile = 'C:\acme\email.linz.email.crt'
 $PFSENSEKeyFile = 'C:\acme\email.linz.email.key'
tragt ihr eure Quellpfade ein, also Name und Pfad der kopierten Zertifikate, bei
 $PFXFileNameAndPath = 'C:\Skripte\email.linz.email.pfx'
die Zieldatei - die unbedingt '''NICHT''' im gleichen Pfad wie die Zertifikate liegt (da kopieren wir ja ständig was hinein).<br>
<br>
Zusätzlich müsst Ihr openssl Installieren, und zwar von dieser Webseite<br>
 https://slproweb.com/products/Win32OpenSSL.html
den ersten Link:<br>
:[[Datei:ClipCapIt-250706-180604.PNG]]<br>
Die Datei heißt dann (oder so ähnlich)<br>
 Win64OpenSSL_Light-3_5_1.exe
Im Skript ist der Pfad hinterlegt, der sollte dann später<br>
 C:\Program Files\OpenSSL-Win64\bin\openssl.exe
sein.<br>
<br>
Wenn Ihr wollt, könnt Ihr das Skript von Hand starten - '''ABER ACHTUNG, ES WIRD GGF: DAS ZERTIFIKAT AUSGETAUSCHT!'''<br>
Das Skript generiert jedes mal die '''''*.pfx''''' Datei, holt sich die Seriennummer und prüft ob diese mit dem aktuellen Exchange-Zertifikat übereinstimmt.<br>
Wenn nicht wird ausgetauscht. Ihr könnt das Skript also beliebig oft starten.<br>
<br>
In der Aufgabenplanung erstellen wir folgende Aufgabe:<br>
:[[Datei:ClipCapIt-250706-181426.PNG]]<br>
Nehmt einen Benutzer mit den entsprechenden Berechtigungen!<br>
Der Trigger:<br>
:[[Datei:ClipCapIt-250706-181527.PNG]]<br>
Die Aktion:<br>
:[[Datei:ClipCapIt-250706-181601.PNG]]<br>
 Programm/Skript: powershell.exe
 Argumente:       -Command "&'C:\Skripte\Import-pfSenseCertificate2Exchange.ps1' -installpath 'C:\Skripte'"
Das Argument müsste bei einem Script eigentlich {{code|-File}} sein, so ist es ein Kommandozeilenbefehl und die Skriptwarnung sollte nicht greifen.<br>
Prüft mit dem Benutzer ob es eine Warnung gibt indem ihr obigen Befehl einmal ausführt! Wenn ja, abschalten, ggf. reicht ein {{code|-ExecutionPolicy Bypass}}.<br>
Wenn Ihr es ausführt, sollte sich der Zeitstempel eurer '''''*.pfx''''' Datei ändern.<br>
<br>
<br>
----

==Quellen==
Inspiriert von: https://victorlclopes.medium.com/copy-pfsense-acme-certificate-to-another-server-e42c611c47ec<br>
Ich habe abgewandelt das entweder alle Zertifikate kopiert werden (so kann man den Befehl einfach bei jedem Zertifikat gleich einfügen) oder im 2. Beispiel alle 5 Dateien eines Zertifikates (und nicht nur 3).<br>
----
==Kommentare==
<comments />