在 NetScaler/F5 硬件负载均衡器上更新证书的操作手册-SSL证书资讯-ssl证书_免费ssl证书_https证书

用户在 F5 或 NetScaler 负载均衡器上更新SSL证书，主要可以采用图形界面（GUI）或命令行（CLI）两种方式。你可以根据自己的环境和管理习惯选择。

一、NetScaler (Citrix ADC)

NetScaler 提供了多种更新证书的方式，以满足不同管理场景的需求。

NetScaler Console / ADM (集中管理)

适用场景：当需要集中管理多个 NetScaler 实例上的证书时。

1. 导航：登录 NetScaler Console，进入 `基础设施` > `SSL 控制板`。

2. 选择证书：点击图表查看证书列表，或进入 `管理证书存储`，找到并选择要更新的证书。

3. 更新操作：

方法一：点击“更新”，在弹出页面上传新的证书文件和密钥文件，如有需要可填写密码和证书链。

方法二：在证书列表中选中证书，直接点击“更新”，然后从证书存储中选择新的证书文件即可。

4. 完成：点击“确定”后，所有绑定该证书的 SSL 虚拟服务器将自动更新。

NetScaler SDX (平台管理)

适用场景：在 NetScaler SDX 设备上管理底层实例的证书时。

1. 上传文件：在导航窗格中，展开 `管理服务` > `SSL 证书文件`，点击“上传”，将新的证书和密钥文件上传到 SDX 设备。

2. 安装证书：在 `NetScaler` 窗格下，找到并点击 `安装 SSL 证书`，在对话框中选择刚才上传的证书和密钥文件进行安装。

3. CLI (命令行)

适用场景：习惯自动化脚本或进行精细化管理时。

核心命令：使用 `update ssl certkey` 命令。

操作示例：

bash

update ssl certkey <证书密钥对名称> -cert <新证书文件路径> -key <新私钥文件路径>

详细路径：该命令位于 `Traffic Management` > `SSL` > `Certificates` > `All Certificates` 路径下。

注意事项：确保服务器证书和对应的私钥文件已准备好。

二、F5 BIG-IP

在 F5 BIG-IP 上，更新证书通常涉及上传文件、修改 SSL 配置文件等步骤。

1. TMSH (CLI)

适用场景：适合自动化运维或习惯命令行操作的管理员。

1. 上传证书文件：首先需要将新证书文件上传到 BIG-IP 设备。可以使用 `tmsh` 命令：

bash

tmsh install sys crypto cert <证书名> from-local-file <新证书文件路径>

tmsh install sys crypto key <私钥名> from-local-file <新私钥文件路径>

或者将证书文件通过 SCP 等方式复制到 `/var/tmp/` 等目录下。

2. 更新 SSL 配置文件：将新的证书和私钥应用到现有的 Client SSL 或 Server SSL 配置文件中。

bash

tmsh modify /ltm profile client-ssl <配置文件名称> cert <证书名> key <私钥名>

3. 验证并同步配置：执行 `tmsh save sys config` 保存配置，并在设备组中进行同步。

2. GUI (图形界面)

适用场景：日常运维、单次操作或偏好可视化操作的管理员。

方法一：通过 SSL证书列表导入

1. 导航：进入 `System` > `Certificate Management` > `Traffic Certificate Management` > `SSL Certificate List`。

2. 导入：点击 `Import`，选择 `Certificate` 类型，为证书命名，上传 `.crt` 或 `.pem` 文件。同样方法导入私钥。

方法二：更新 SSL 配置文件

1. 导航：进入 `Local Traffic` > `Profiles` > `SSL` > `Client`（或 `Server`）。

2. 编辑：找到并点击需要更新的 SSL 配置文件，在 `Certificate` 和 `Key` 下拉框中，选择你刚刚导入的新证书和私钥，点击 `Update` 或 `Finished` 保存。

方法三：更新设备证书

对于设备自身的通信证书，可通过 `System` > `Certificate Management` > `Device Certificate Management` > `Device Certificate` 进行查看、续期或导入。

三、最佳实践与注意事项

提前准备：确保证书（含完整证书链）和私钥文件（如 .key）已准备好，并熟悉文件格式（如 PEM、PFX）。

备份与变更窗口：操作前务必备份当前配置，并在业务低峰期进行，以减少对业务的影响。

更新策略：

完整链更新：如果使用完整证书链文件，更新时会自动替换所有关联证书。

设备同步：高可用集群中的备机通常会自动同步，但手动 `sync` 一下更安心。

部署自动化：如果环境设备众多，建议使用 Ansible 等工具进行自动化批量部署，以提高效率并减少人为失误。

测试验证：更新后，使用 `openssl s_client` 等工具或浏览器访问，验证新证书是否生效。