http://mikrotik.moscow Новое в теме Запрос на исправление: флаг полномочий для импорта CA-сертификата в RouterOS форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sat, 01 Aug 2026 03:55:09 -0400 Запрос на исправление: флаг полномочий для импорта CA-сертификата в RouterOS RouterOS в форуме RouterOS.
Здравствуйте, я пытался вставить комментарий ans, но сертификат не импортируется как доверенный центр. Вы пробовали на версии 7.11?
29.10.2023 14:02:00, doctor12th.]]> http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423609 http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423609 Sun, 29 Oct 2023 14:02:00 -0400 RouterOS Запрос на исправление: флаг полномочий для импорта CA-сертификата в RouterOS RouterOS в форуме RouterOS.
Спасибо @luca1234567 за твой тред! Я только что добавил флаги KeyCertSign и CrlSign, а также nsComment в запрос на сертификат моего CA, и всё работает просто отлично! Мой CA теперь воспринимается RouterOS как настоящий CA-сертификат. В C# это выглядит так:

var request = new CertificateRequest(
   issuer,
   rsa,
   HashAlgorithmName.SHA256,
   RSASignaturePadding.Pkcs1
);

request.CertificateExtensions.Add(
   new X509BasicConstraintsExtension(
      certificateAuthority: true,
      hasPathLengthConstraint: true,
      pathLengthConstraint: 0,
      critical: true
  )
);

// Добавляем флаги KeyCertSign и CrlSign
request.CertificateExtensions.Add(
   new X509KeyUsageExtension(
       X509KeyUsageFlags.KeyCertSign | X509KeyUsageFlags.CrlSign,
       critical: true
   )
);

// Добавляем nsComment "Generated by RouterOS"
var nsCommentAsBytes = System.Text.Encoding.ASCII.GetBytes("Generated by RouterOS");
var nsCommentExtension = new X509Extension("2.16.840.1.113730.1.13", nsCommentAsBytes, false);
request.CertificateExtensions.Add(nsCommentExtension);

Спасибо всем за уделённое время, вы сделали мой день!
03.10.2023 08:23:00, Phenek.]]> http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423608 http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423608 Tue, 03 Oct 2023 08:23:00 -0400 RouterOS Запрос на исправление: флаг полномочий для импорта CA-сертификата в RouterOS RouterOS в форуме RouterOS.
Спасибо за подробный пост, очень помог с вопросом. RouterOS v6.48.2 всё ещё работает.
08.06.2021 22:44:00, Dix.]]> http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423607 http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423607 Tue, 08 Jun 2021 22:44:00 -0400 RouterOS Запрос на исправление: флаг полномочий для импорта CA-сертификата в RouterOS RouterOS в форуме RouterOS.
Это просто неправда.
04.06.2020 10:41:00, mrz.]]> http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423606 http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423606 Thu, 04 Jun 2020 10:41:00 -0400 RouterOS Запрос на исправление: флаг полномочий для импорта CA-сертификата в RouterOS RouterOS в форуме RouterOS.
CA-сертификаты без флага «A» нельзя использовать для проверки клиентских сертификатов на сервере open-vpn (опция «требовать клиентский сертификат»).
03.06.2020 12:12:00, iw2ngg.]]> http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423605 http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423605 Wed, 03 Jun 2020 12:12:00 -0400 RouterOS Запрос на исправление: флаг полномочий для импорта CA-сертификата в RouterOS RouterOS в форуме RouterOS.
Привет, RouterBoard RB750Gr3 (HEXv3) RouterOS v6.45.8 OpenSSL v1.1.1d

Я хочу импортировать самоподписанный сертификат CA, с приватным ключом или без него, в RouterOS и чтобы он был помечен как «Authority». Я использую OpenSSL для создания моего Центра Сертификации с самоподписанным сертификатом с параметрами basicConstraints = critical, CA:true, pathlen:0 и keyUsage = critical, cRLSign, keyCertSign.

Когда я импортирую его в RouterOS, он не отображается как Authority. Сравнив самоподписанный сертификат, сгенерированный RouterOS, я проверил, что если добавить Netscape Comment: nsComment = «Generated by RouterOS», то RouterOS корректно считает его Authority.

Но мне кажется, это неправильно, потому что при условии: basicConstraints = CA:true и keyUsage = cRLSign, keyCertSign сертификат должен рассматриваться как CA и соответственно иметь флаг «Authority». Я считаю, что было бы правильно видеть «Authority» у сертификата с basicConstraints = CA:true, вне зависимости от того, был ли он сгенерирован RouterOS или импортирован.

Это было бы полезно, чтобы понимать, какие сертификаты используются как CA для других целей, например, для проверки в Wifi-EAP-TLS, VPN-IPSec и т.д.

Я написал в поддержку, и получил такой ответ:  
Импортированные сертификаты не показываются как authority по одной простой причине — с импортированными CA нельзя подписывать сертификаты. Если вы не видите «authority» у сертификата, это не значит, что он не будет работать для других назначений.

Я ответил:  
Если я импортирую только CA-сертификат без приватного ключа, в любом случае невозможно подписывать другие сертификаты от имени CA. И я не вижу причины запрещать использовать импортированные CA для подписания.

Поддержка:  
Проблема с разрешением подписывать сертификаты импортированными CA в том, что устройство, куда импортирован CA, не является его исходным источником. Вы не можете знать, на скольких других устройствах этот CA импортирован, и сколько сертификатов подписано копиями этого CA. Это особенно важно при использовании CRL.

Я написал:  
Как я описал в первом письме, если я создаю с помощью OpenSSL самоподписанный сертификат CA с Netscape Comment = «Generated by RouterOS» и импортирую его без приватного ключа в RouterOS, RouterOS отображает этот сертификат с флагом «Authority».

Поддержка:  
Установка комментария для возможности генерации сертификатов — это своего рода хак. Если вы это знаете — хорошо, но причина, по которой мы не показываем CA как CA, описана выше. И да, конечно, если у вас нет приватного ключа — вы всё равно не можете подписывать, и флаг CA тогда имеет ещё меньше смысла.

Я написал:  
Проблема в том, чтобы в RouterOS был флаг «Authority» у всех CA-сертификатов (с basicConstraints = CA:true), импортированных или сгенерированных RouterOS, с и без Netscape Comment = «Generated by RouterOS». Можно ли убрать ограничение с Netscape Comment в новом релизе?

Поддержка:  
Как уже говорилось несколько раз, отсутствие этого флага не влияет на функциональность импортированных CA (например, проверка работает нормально). Думаю, они не захотят исправлять эту реализацию.

Поэтому я прошу публично Mikrotik внедрить исправление. Кто ещё поддержит эту просьбу? Привет!
26.03.2020 12:18:00, luca1234567.]]> http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423604 http://mikrotik.moscow/forum/forum57/88114-zapros-na-ispravlenie_-flag-polnomochiy-dlya-importa-ca_sertifikata-v-routeros/message423604 Thu, 26 Mar 2020 12:18:00 -0400 RouterOS