Instalando Certificado SSL em Controlador UniFi (Ambiente Windows Server)

Se você chegou até aqui, com certeza já teve — ou ainda tem — a necessidade de instalar um certificado SSL válido em um Controlador UniFi rodando em ambiente Windows Server.

Muita gente vai falar que "tem que usar Linux". Mas cada um vive um cenário e uma necessidade empresarial diferente — este guia descreve o passo a passo especificamente para ambiente Windows Server.

Vou direto à prática, sem muitos comentários — quem já trabalha com ambientes UniFi tem o conhecimento necessário para acompanhar os pontos deste guia.

01Ambiente Externo (DNS)

Dentro do gerenciador de zona DNS da sua hospedagem, crie um registro do tipo A, chamado unifi.empresa.com.br, apontando para o IP externo do local onde está instalada sua controladora.

02Ambiente Interno (IIS)

1. Dentro do IIS, crie um site com o mesmo nome FQDN que será dado ao controlador — no exemplo, unifi.empresa.com.br.
2. Em Editar Site → Associações, crie os apontamentos HTTP (80) e HTTPS (443).
3. No arquivo hosts, adicione uma linha com o IP local da sua controladora:

192.168.0.100 unifi.empresa.com.br

03Firewall

Se houver firewall na rede, crie regras de redirecionamento da porta 80 para o IP local da controladora, além das regras de LAN/WAN aplicáveis — isso é necessário para que o Acme Challenge valide corretamente o desafio HTTP-01.

Libere também a porta 80 no Firewall do Windows Server.

04Win-ACME

1. Baixe o Win-ACME e salve em C:\Unifi.
2. No arquivo settings.json, já vale preencher os dados do servidor SMTP para alertas.
3. Na primeira execução, vá em O (Mais Opções) → T para instalar o serviço de renovação automática agendada.
4. Teste o SMTP configurado com a opção E (Teste de Notificação).

05Script de importação do certificado (unificert.bat)

Volte ao menu principal (opção Q) e crie o arquivo unificert.bat em C:\Unifi, com o conteúdo abaixo:

@echo off
set kt="C:\Program Files\Eclipse Adoptium\jre-17.0.9.9-hotspot\bin\keytool.exe"
set ks="C:\Users\seusuariodowindows\Ubiquiti UniFi\data\keystore"
set pfx="C:\Users\seusuariodowindows\Ubiquiti UniFi\unifi.empresa.com.br.pfx"

cd "%UserProfile%\Ubiquiti UniFi\"
java -jar lib\ace.jar stopsvc

cd "%UserProfile%\Ubiquiti UniFi\data"
del keystore.old
copy keystore keystore.old

%kt% -delete -keystore %ks% -alias unifi -srcstorepass aircontrolenterprise -deststorepass aircontrolenterprise -noprompt
%kt% -importkeystore -srckeystore %pfx% -srcstoretype pkcs12 -srcstorepass aircontrolenterprise -destkeystore %ks% -deststorepass aircontrolenterprise -noprompt
%kt% -changealias -keystore %ks% -alias 1 -destalias unifi -srcstorepass aircontrolenterprise -deststorepass aircontrolenterprise -noprompt
%kt% -list -keystore %ks% -srcstorepass aircontrolenterprise -deststorepass aircontrolenterprise

cd "%UserProfile%\Ubiquiti UniFi\"
java -jar lib\ace.jar startsvc

Explicando os 3 primeiros set:

1. Caminho do keytool — no meu caso, via JRE do Eclipse Adoptium (ajuste para o seu caminho de Java).
2. Local da sua keystore.
3. Local do arquivo .pfx que o Win-ACME vai gerar.

Mova esse .bat para C:\Unifi.

06Gerando o certificado

Abra o wacs.exe (Win-ACME) e siga esta sequência de opções:

1. M — Criar Certificado
2. 2 — Manual input, informe unifi.empresa.com.br
3. Enter no alias
4. 4 — Single Certificate
5. 2 — Salvar arquivos na memória
6. 2 — RSA Key
7. 3 — PFX Archive, informe o caminho C:\Users\seusuariodowindows\Ubiquiti UniFi\
8. 2 — Definir senha do PFX: aircontrolenterprise
9. 5 — Sem opções adicionais
10. 2 — Iniciar script externo, informe C:\Unifi\unificert.bat, Enter nos parâmetros
11. 3 — Sem opções adicionais

Concluída essa etapa, o acesso já estará disponível de acordo com o host escolhido. Se não funcionar de primeira, execute novamente C:\Unifi\unificert.bat.

Acesso final:

https://unifi.empresa.com.br:8443

07Renovação automática

Como o certificado tem validade de 3 meses, crie uma tarefa agendada para o unificert.bat rodar mensalmente (ex.: às 10:00), já que o schedule do Win-ACME roda às 09:00.

Assim, finalizamos com um certificado Let's Encrypt SSL, sem custo e com renovação automática.