XenServer

Zertifikate für Workload Balancing

August 1, 2026

Beitrag von:

XenServer® und Workload Balancing kommunizieren über HTTPS. Während der Workload Balancing-Konfiguration erstellt der Assistent automatisch ein selbstsigniertes Testzertifikat. Dieses selbstsignierte Testzertifikat ermöglicht Workload Balancing, eine TLS-Verbindung zu XenServer herzustellen. Standardmäßig erstellt Workload Balancing diese TLS-Verbindung mit XenServer automatisch. Sie müssen während oder nach der Konfiguration keine Zertifikatskonfigurationen vornehmen, damit Workload Balancing diese TLS-Verbindung herstellen kann.

Hinweis:

Das selbstsignierte Zertifikat ist ein Platzhalter zur Erleichterung der HTTPS-Kommunikation und stammt nicht von einer vertrauenswürdigen Zertifizierungsstelle. Für zusätzliche Sicherheit empfehlen wir die Verwendung eines von einer vertrauenswürdigen Zertifizierungsstelle signierten Zertifikats.

Um ein Zertifikat von einer anderen Zertifizierungsstelle, z. B. ein signiertes von einer kommerziellen Behörde, zu verwenden, müssen Sie Workload Balancing und XenServer für dessen Verwendung konfigurieren.

Standardmäßig validiert XenServer die Identität des Zertifikats, bevor eine Verbindung zu Workload Balancing hergestellt wird. Um XenServer so zu konfigurieren, dass es nach einem bestimmten Zertifikat sucht, exportieren Sie das Stammzertifikat, das zum Signieren des Zertifikats verwendet wurde. Kopieren Sie das Zertifikat auf XenServer und konfigurieren Sie XenServer so, dass es bei einer Verbindung zu Workload Balancing danach sucht. XenServer fungiert in diesem Szenario als Client und Workload Balancing als Server.

Je nach Ihren Sicherheitszielen können Sie entweder:

XenServer prüft, ob ein bestimmtes Zertifikat vorhanden ist, bevor es der virtuellen Workload Balancing-Appliance erlaubt, sich über TLS zu verbinden. In diesem Fall befindet sich das echte Zertifikat (das Zertifikat mit dem privaten Schlüssel) auf dem Workload Balancing-Server. Das Zertifikat, das zu dessen Signierung verwendet wurde, befindet sich auf dem XenServer-Pool-Koordinator.

Hinweis:

Die Zertifikatsüberprüfung ist eine Sicherheitsmaßnahme, die unerwünschte Verbindungen verhindern soll. Workload Balancing- Zertifikate müssen strenge Anforderungen erfüllen, da die Zertifikatsüberprüfung sonst nicht erfolgreich ist. Wenn die Zertifikats- überprüfung fehlschlägt, lässt XenServer die Verbindung nicht zu.

Damit die Zertifikatsüberprüfung erfolgreich ist, müssen Sie die Zertifikate an den spezifischen Speicherorten ablegen, an denen XenServer die Zertifikate erwartet.

Automatischer Zertifikatsimport

In XenCenter® 2025.1 und höher mit Workload Balancing 8.4.0 und höher importiert XenCenter das Workload Balancing-Zertifikat automatisch, wenn die Verbindung zu Workload Balancing zum ersten Mal konfiguriert wird.

Wenn das Windows-System, auf dem XenCenter ausgeführt wird, nicht auf die Workload Balancing Virtual Appliance zugreifen kann – zum Beispiel, wenn der Port, der für die Kommunikation zwischen Workload Balancing und XenServer verwendet wird, deaktiviert ist, ist der automatische Zertifikatsimport nicht verfügbar, und Sie müssen stattdessen das Workload Balancing-Zertifikat manuell in Ihren Pool installieren.

XenServer zur Überprüfung des selbstsignierten Zertifikats konfigurieren

Sie können XenServer so konfigurieren, dass es überprüft, ob das selbstsignierte XenServer Workload Balancing-Zertifikat authentisch ist, bevor XenServer Workload Balancing die Verbindung erlaubt.

Wichtig:

Um das selbstsignierte XenServer Workload Balancing-Zertifikat zu überprüfen, müssen Sie sich über seinen Hostnamen mit Workload Balancing verbinden. Um den Workload Balancing-Hostnamen zu finden, führen Sie den Befehl hostname auf der virtuellen Appliance aus.

Führen Sie die folgenden Schritte aus, um XenServer zur Überprüfung des selbstsignierten Zertifikats zu konfigurieren:

Kopieren Sie das selbstsignierte Zertifikat von der Workload Balancing Virtual Appliance auf den Pool-Koordinator. Das selbstsignierte XenServer Workload Balancing-Zertifikat wird unter /etc/ssl/certs/server.pem gespeichert. Führen Sie den folgenden Befehl auf dem Pool-Koordinator aus:
```
scp root@<wlb-ip>:/etc/ssl/certs/server.pem wlb.pem

```
Wenn Sie eine Meldung erhalten, dass die Authentizität von wlb-ip nicht festgestellt werden kann, geben Sie yes ein, um fortzufahren.
Geben Sie das Root-Passwort der Workload Balancing Virtual Appliance ein, wenn Sie dazu aufgefordert werden. Das Zertifikat wird in das aktuelle Verzeichnis kopiert.
Installieren Sie das Zertifikat. Führen Sie den folgenden Befehl in dem Verzeichnis aus, in das Sie das Zertifikat kopiert haben:
```
xe pool-certificate-install filename=wlb.pem

```
Überprüfen Sie die korrekte Installation des Zertifikats, indem Sie den folgenden Befehl auf dem Pool-Koordinator ausführen:
```
xe pool-certificate-list

```
Wenn Sie das Zertifikat korrekt installiert haben, enthält die Ausgabe dieses Befehls das exportierte Root-Zertifikat. Die Ausführung dieses Befehls listet alle installierten TLS-Zertifikate auf, einschließlich des von Ihnen installierten Zertifikats.
Um das Zertifikat vom Koordinator mit allen Hosts im Pool zu synchronisieren, führen Sie den folgenden Befehl auf dem Pool-Koordinator aus:
```
xe pool-certificate-sync

```
Die Ausführung des Befehls pool-certificate-sync auf dem Koordinator synchronisiert das Zertifikat und die Zertifikats- Sperrlisten auf allen Pool-Hosts mit dem Koordinator. Diese Aktion stellt sicher, dass alle Hosts im Pool die gleichen Zertifikate verwenden.

Dieser Befehl erzeugt keine Ausgabe. Der nächste Schritt funktioniert jedoch nicht, wenn dieser nicht erfolgreich war.
Weisen Sie XenServer an, das Zertifikat zu überprüfen, bevor eine Verbindung zur virtuellen Workload Balancing-Appliance hergestellt wird. Führen Sie den folgenden Befehl auf dem Pool-Koordinator aus:
```
xe pool-param-set wlb-verify-cert=true uuid=uuid_of_pool

```
Tipp:

Durch Drücken der Tabulatortaste wird die UUID des Pools automatisch ausgefüllt.
(Optional) Um zu überprüfen, ob dieser Vorgang erfolgreich war, führen Sie die folgenden Schritte aus:
1. Um zu testen, ob das Zertifikat mit den anderen Hosts im Pool synchronisiert wurde, führen Sie den pool-certificate-list Befehl auf diesen Hosts aus.
2. Um zu testen, ob XenServer zur Überprüfung des Zertifikats konfiguriert wurde, führen Sie den pool-param-get Befehl mit dem Parameter param-name=wlb-verify-cert aus. Zum Beispiel:
```
xe pool-param-get param-name=wlb-verify-cert uuid=uuid_of_pool

```

XenServer zur Überprüfung eines Zertifizierungsstellen-Zertifikats konfigurieren

Sie können XenServer so konfigurieren, dass ein von einer vertrauenswürdigen Zertifizierungsstelle signiertes Zertifikat überprüft wird.

Für Zertifikate vertrauenswürdiger Zertifizierungsstellen benötigt XenServer ein exportiertes Zertifikat oder eine Zertifikatskette (die Zwischen- und Stammzertifikate) im Format .pem, das den öffentlichen Schlüssel enthält.

Wenn Sie möchten, dass Workload Balancing ein Zertifikat einer vertrauenswürdigen Zertifizierungsstelle verwendet, führen Sie die folgenden Aufgaben aus:

Bevor Sie diese Aufgaben beginnen, stellen Sie sicher:

Sie kennen die IP-Adresse des XenServer-Pool-Koordinators.
XenServer kann den Workload Balancing-Hostnamen auflösen. (Zum Beispiel können Sie versuchen, den Workload Balancing FQDN von der XenServer-Konsole für den Pool-Koordinator anzupingen.)

Ein signiertes Zertifikat von der Zertifizierungsstelle erhalten

Um ein Zertifikat von einer Zertifizierungsstelle zu erhalten, müssen Sie eine Zertifikatsignierungsanforderung (CSR) generieren. Auf der virtuellen Workload Balancing-Appliance erstellen Sie einen privaten Schlüssel und verwenden diesen privaten Schlüssel, um die CSR zu generieren.

Richtlinien für die Angabe des Common Name

Der Common Name (CN), den Sie beim Erstellen einer CSR angeben, muss exakt mit dem FQDN Ihrer virtuellen Workload Balancing- Appliance übereinstimmen. Er muss auch mit dem FQDN oder der IP-Adresse übereinstimmen, die Sie im Feld Adresse im Dialogfeld Mit WLB- Server verbinden angegeben haben.

Um sicherzustellen, dass der Name übereinstimmt, geben Sie den Common Name gemäß einer dieser Richtlinien an:

Geben Sie für den Common Name des Zertifikats dieselben Informationen an, die Sie im Dialogfeld Mit WLB-Server verbinden angegeben haben.

Wenn Ihre virtuelle Workload Balancing-Appliance beispielsweise wlb-vpx.yourdomain heißt, geben Sie wlb-vpx.yourdomain im Dialogfeld Mit WLB-Server verbinden an und verwenden Sie wlb-vpx.yourdomain als Common Name, wenn Sie die CSR erstellen.
Wenn Sie Ihren Pool über die IP-Adresse mit Workload Balancing verbunden haben, verwenden Sie den FQDN als Common Name und die IP-Adresse als Subject Alternative Name (SAN). Dieser Ansatz funktioniert jedoch möglicherweise nicht in allen Situationen.

Eine private Schlüsseldatei erstellen

Führen Sie auf der virtuellen Workload Balancing-Appliance die folgenden Schritte aus:

Eine private Schlüsseldatei erstellen:

openssl genrsa -des3 -out privatekey.pem 2048
<!--NeedCopy-->

Das Kennwort entfernen:

openssl rsa -in privatekey.pem -out privatekey.nop.pem
<!--NeedCopy-->

Hinweis:

Wenn Sie das Kennwort falsch oder inkonsistent eingeben, erhalten Sie möglicherweise Meldungen, die auf einen Benutzeroberflächenfehler hinweisen. Sie können die Meldung ignorieren und den Befehl erneut ausführen, um die private Schlüsseldatei zu erstellen.

Zertifikatsignierungsanfrage generieren

Führen Sie auf der virtuellen Workload Balancing Appliance die folgenden Schritte aus:

Erstellen Sie die Zertifikatsignierungsanfrage (CSR) unter Verwendung des privaten Schlüssels:
```
openssl req -new -key privatekey.nop.pem -out csr

```
Befolgen Sie die Anweisungen, um die zur Generierung der CSR erforderlichen Informationen anzugeben:

Ländername. Geben Sie die TLS-Zertifikat-Ländercodes für Ihr Land ein. Zum Beispiel CA für Kanada oder JM für Jamaika. Eine Liste der TLS-Zertifikat-Ländercodes finden Sie im Internet.

Bundesland- oder Provinzname (vollständiger Name). Geben Sie das Bundesland oder die Provinz ein, in dem/der sich der Pool befindet. Zum Beispiel Massachusetts oder Alberta.

Ortsname. Der Name der Stadt, in der sich der Pool befindet.

Organisationsname. Der Name Ihres Unternehmens oder Ihrer Organisation.

Name der Organisationseinheit. Geben Sie den Abteilungsnamen ein. Dieses Feld ist optional.

Common Name. Geben Sie den FQDN Ihres Workload Balancing-Servers ein. Dieser Wert muss mit dem Namen übereinstimmen, den der Pool für die Verbindung mit Workload Balancing verwendet. Weitere Informationen finden Sie unter Richtlinien für die Angabe des Common Name.

E-Mail-Adresse. Diese E-Mail-Adresse wird beim Generieren in das Zertifikat aufgenommen.
Geben Sie optionale Attribute an oder drücken Sie die Eingabetaste, um diese Informationen zu überspringen.

Die CSR-Anfrage wird im aktuellen Verzeichnis gespeichert und heißt csr.
Zeigen Sie die CSR im Konsolenfenster an, indem Sie die folgenden Befehle in der Workload Balancing Appliance-Konsole ausführen:
```
cat csr

```
Kopieren Sie die gesamte CSR und verwenden Sie sie, um das Zertifikat bei der Zertifizierungsstelle anzufordern.

Neues Zertifikat angeben und anwenden

Verwenden Sie dieses Verfahren, um anzugeben, dass Workload Balancing ein Zertifikat von einer Zertifizierungsstelle verwendet. Dieses Verfahren installiert die Stamm- und (falls verfügbar) Zwischenzertifikate.

Führen Sie die folgenden Schritte aus, um ein neues Zertifikat anzugeben:

Laden Sie das signierte Zertifikat, das Stammzertifikat und, falls die Zertifizierungsstelle eines hat, das Zwischen- Zertifikat von der Zertifizierungsstelle herunter.
Wenn Sie die Zertifikate nicht direkt auf die virtuelle Workload Balancing-Appliance heruntergeladen haben, kopieren Sie sie mit einer der folgenden Methoden:
- Verwenden Sie von einem Windows-Computer aus WinSCP oder ein anderes Kopierprogramm.
  
  Für den Hostnamen können Sie die IP-Adresse eingeben und den Port auf der Standardeinstellung belassen. Der Benutzername und das Kennwort sind typischerweise root und das Kennwort, das Sie während der Konfiguration festgelegt haben.
- Verwenden Sie von einem Linux-Computer auf die Workload Balancing-Appliance SCP oder ein anderes Kopierprogramm. Zum Beispiel:
```
 scp root_ca.pem root@wlb-ip:/path_on_your_WLB
 
```
Führen Sie auf der virtuellen Workload Balancing-Appliance den Inhalt aller Zertifikate (Stammzertifikat, Zwischenzertifikat – falls vorhanden – und signiertes Zertifikat) in einer Datei zusammen. Sie können den folgenden Befehl verwenden:
```
cat signed_cert.pem intermediate_ca.pem root_ca.pem > server.pem

```

Benennen Sie das vorhandene Zertifikat und den Schlüssel mit dem Befehl zum Verschieben um:

mv /etc/ssl/certs/server.pem /etc/ssl/certs/server.pem_orig
mv /etc/ssl/certs/server.key /etc/ssl/certs/server.key_orig
<!--NeedCopy-->

Kopieren Sie das zusammengeführte Zertifikat:

mv server.pem /etc/ssl/certs/server.pem
<!--NeedCopy-->

Kopieren Sie den zuvor erstellten privaten Schlüssel:

mv privatekey.nop.pem /etc/ssl/certs/server.key
<!--NeedCopy-->

Machen Sie den privaten Schlüssel nur für root lesbar. Verwenden Sie den Befehl chmod, um die Berechtigungen zu korrigieren.
```
chmod 600 /etc/ssl/certs/server.key

```

Starten Sie stunnel neu:

pkill -9 stunnel
stunnel
<!--NeedCopy-->

Zertifikatskette in den Pool importieren

Nachdem Sie die Zertifikate erhalten haben, importieren Sie diese auf den XenServer-Poolkoordinator. Synchronisieren Sie die Hosts im Pool, um diese Zertifikate zu verwenden. Anschließend können Sie XenServer so konfigurieren, dass die Zertifikatsidentität und -gültigkeit bei jeder Verbindung von Workload Balancing mit einem Host überprüft wird.

Kopieren Sie das signierte Zertifikat, das Stammzertifikat und, falls die Zertifizierungsstelle eines hat, das Zwischenzertifikat von der Zertifizierungsstelle auf den XenServer-Poolkoordinator.

Installieren Sie das Stammzertifikat auf dem Poolkoordinator:

xe pool-install-ca-certificate filename=root_ca.pem
<!--NeedCopy-->

Installieren Sie, falls zutreffend, das Zwischenzertifikat auf dem Poolkoordinator:
```
xe pool-install-ca-certificate filename=intermediate_ca.pem

```
Überprüfen Sie, ob beide Zertifikate korrekt installiert wurden, indem Sie diesen Befehl auf dem Poolkoordinator ausführen:
```
xe pool-certificate-list

```
Die Ausführung dieses Befehls listet alle installierten TLS-Zertifikate auf. Wenn die Zertifikate erfolgreich installiert wurden, erscheinen sie in dieser Liste.
Synchronisieren Sie das Zertifikat auf dem Poolkoordinator mit allen Hosts im Pool:
```
xe pool-certificate-sync

```
Die Ausführung des Befehls pool-certificate-sync auf dem Koordinator synchronisiert die Zertifikate und Zertifikatsperrlisten auf allen Pool-Hosts mit dem Poolkoordinator. Diese Aktion stellt sicher, dass alle Hosts im Pool dieselben Zertifikate verwenden.
Weisen Sie XenServer an, ein Zertifikat zu überprüfen, bevor eine Verbindung zur Workload Balancing Virtual Appliance hergestellt wird. Führen Sie den folgenden Befehl auf dem Poolkoordinator aus:
```
xe pool-param-set wlb-verify-cert=true uuid=uuid_of_pool

```
Tipp:

Durch Drücken der Tabulatortaste wird die UUID des Pools automatisch ausgefüllt.
Wenn Sie eine IP-Adresse im Dialogfeld Mit WLB-Server verbinden angegeben haben, bevor Sie die Zertifikatsüberprüfung aktiviert haben, werden Sie möglicherweise aufgefordert, den Pool erneut mit Workload Balancing zu verbinden.

Geben Sie den FQDN für die Workload Balancing Appliance im Feld Adresse im Dialogfeld Mit WLB-Server verbinden genau so an, wie er im Common Name des Zertifikats erscheint. Geben Sie den FQDN ein, um sicherzustellen, dass der Common Name mit dem Namen übereinstimmt, den XenServer für die Verbindung verwendet.

Fehlerbehebung

Die Zertifikatsüberprüfung ist in Ihrem Pool standardmäßig aktiviert. Deaktivieren Sie die Zertifikatsüberprüfung, wenn Ihr Pool keine Verbindung zu Workload Balancing herstellen kann:
1. Pool-UUID abrufen:
```
xe pool-list

```
2. Zertifikatsüberprüfung deaktivieren:
```
xe pool-param-set wlb-verify-cert=false uuid=uuid_of_pool

```
Wenn Ihr Pool eine Verbindung zu Workload Balancing herstellen kann, während die Zertifikatsüberprüfung deaktiviert ist, liegt das Problem bei Ihrer Zertifikatskonfiguration. Wenn keine Verbindung hergestellt werden kann, liegt das Problem entweder an Ihren Workload Balancing-Anmeldeinformationen oder an Ihrer Netzwerkverbindung. Wenden Sie sich an den Support oder lesen Sie Fehlerbehebung bei Workload Balancing für weitere Informationen.
Einige kommerzielle Zertifizierungsstellen bieten Tools zur Überprüfung der korrekten Installation des Zertifikats an. Erwägen Sie, diese Tools auszuführen, wenn diese Verfahren nicht helfen, das Problem einzugrenzen. Wenn diese Tools die Angabe eines TLS- Ports erfordern, geben Sie Port 8012 oder den Port an, den Sie während der Workload Balancing-Konfiguration festgelegt haben.
Wenn die Registerkarte WLB einen Verbindungsfehler anzeigt, könnte ein Konflikt zwischen dem Common Name des Zertifikats und dem Namen der virtuellen Workload Balancing-Appliance bestehen. Der Name der virtuellen Workload Balancing-Appliance und der Common Name des Zertifikats müssen exakt übereinstimmen.

Weitere Informationen finden Sie unter Fehlerbehebung.

Selbstsigniertes Zertifikat neu generieren

Wenn sich die IP-Adresse der virtuellen Workload Balancing-Appliance ändert und nicht mehr mit dem Wert im Zertifikat übereinstimmt, zeigt Workload Balancing eine Warnmeldung in seiner Konsole an.

Um diese Warnung zu beheben, führen Sie die folgenden Schritte aus:

Melden Sie sich bei Ihrer virtuellen Workload Balancing-Appliance an.
Generieren Sie das Zertifikat neu, indem Sie den folgenden Befehl ausführen: wlb_update_cert.sh
Stellen Sie die Verbindung zur virtuellen Workload Balancing-Appliance wieder her.

Die offizielle Version dieser Produktdokumentation ist in englischer Sprache verfasst. Nicht-englische Versionen wurden ausschließlich zu Ihrer Bequemlichkeit verfasst und können maschinell übersetzte Inhalte enthalten. Weitere Informationen finden Sie im Haftungsausschluss zur maschinellen Übersetzung (Machine Translation Disclaimer) auf Cloud Software Group home.

War dieser Artikel hilfreich?

Zertifikate für Workload Balancing

August 1, 2026

Beitrag von:

August 1, 2026

Beitrag von:

In diesem Artikel

Automatischer Zertifikatsimport
XenServer zur Überprüfung des selbstsignierten Zertifikats konfigurieren
XenServer zur Überprüfung eines Zertifizierungsstellen-Zertifikats konfigurieren
Selbstsigniertes Zertifikat neu generieren

War dieser Artikel hilfreich?