Настройка ASA: Установка и продление цифрового сертификата SSL Содержание Введение Предварительные условия Требования Используемые компоненты Настройка Создание CSR 1. Настройка с помощью ASDM 2. Настройка из интерфейса командной строки ASA 3. Использование OpenSSL для создания CSR Создание сертификата SSL в центре сертификации Пример создания сертификата SSL в центре сертификации GoDaddy Установка сертификата SSL на ASA 1.1. Установка сертификата удостоверений в формате PEM с ASDM 1.2. Установка сертификата PEM с помощью интерфейса командной строки 2.1. Установка сертификата PKCS12 с помощью ASDM 2.2. Установка сертификата PKCS12 с помощью интерфейса командной строки Проверка Просмотр установленных сертификатов через ASDM Просмотр установленных сертификатов при помощи интерфейса командной строки Проверка установленного сертификата для WebVPN с помощью браузера Возобновление сертификата SSL на ASA Вопросы и ответы 1. Каков лучший способ передачи сертификатов удостоверений из одного ASA в другой ASA? 2. Как создать сертификаты SSL для использования при распределении нагрузки VPN для ASA? 3. Нужно ли копировать сертификаты из основного ASA на вспомогательный ASA в паре переключения ASA при отказе? 4. Отличается ли процесс создания сертификата SSL, если используются ключи ECDSA? Устранение неполадок Команды для устранения неполадок Распространенные проблемы Приложение Приложение А: ECDSA или RSA Приложение Б: Использование OpenSSL для создания сертификата PKCS12 из сертификата удостоверения, сертификата CA и частного ключа Дополнительные сведения Введение
32
Embed
Настройка ASA: Установка и продление цифрового … › c › ru_ru › support › docs › security-vpn › publi… · 1. Проверьте
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Transcript
Настройка ASA: Установка и продлениецифрового сертификата SSL Содержание
ВведениеПредварительные условияТребованияИспользуемые компонентыНастройкаСоздание CSR1. Настройка с помощью ASDM 2. Настройка из интерфейса командной строки ASA3. Использование OpenSSL для создания CSRСоздание сертификата SSL в центре сертификацииПример создания сертификата SSL в центре сертификации GoDaddyУстановка сертификата SSL на ASA 1.1. Установка сертификата удостоверений в формате PEM с ASDM 1.2. Установка сертификата PEM с помощью интерфейса командной строки 2.1. Установка сертификата PKCS12 с помощью ASDM 2.2. Установка сертификата PKCS12 с помощью интерфейса командной строкиПроверкаПросмотр установленных сертификатов через ASDMПросмотр установленных сертификатов при помощи интерфейса командной строкиПроверка установленного сертификата для WebVPN с помощью браузераВозобновление сертификата SSL на ASAВопросы и ответы1. Каков лучший способ передачи сертификатов удостоверений из одного ASA в другойASA?2. Как создать сертификаты SSL для использования при распределении нагрузки VPN дляASA?3. Нужно ли копировать сертификаты из основного ASA на вспомогательный ASA в парепереключения ASA при отказе?4. Отличается ли процесс создания сертификата SSL, если используются ключи ECDSA?Устранение неполадокКоманды для устранения неполадокРаспространенные проблемыПриложениеПриложение А: ECDSA или RSAПриложение Б: Использование OpenSSL для создания сертификата PKCS12 изсертификата удостоверения, сертификата CA и частного ключаДополнительные сведения
Введение
В этом документе описаны различные операции, позволяющие успешно установить ииспользовать цифровой сертификат SSL доверенного независимого поставщика наустройстве Adaptive Security Appliance (ASA) для бесклиентного SSLVPN и клиентскихсоединений AnyConnect. В данном примере используется сертификат GoDaddy. Каждый шагсодержит процедуру Adaptive Security Device Manager (ASDM) и эквивалентные командыCLI.
Предварительные условия
Требования
В этом документе требуется доступ к доверенному стороннему центру сертификации (CA)для регистрации сертификатов. В число независимых поставщиков CA входят, например,Baltimore, Cisco, Entrust, Geotrust, G, Microsoft, RSA, Thawte и VeriSign.
Прежде чем начать, проверьте, что на ASA установлены корректные время, дата и часовойпояс. В целях проверки подлинности сертификата рекомендуется использовать сервер NTPдля синхронизации времени на ASA. В Cisco ASA Series General Operations CLI ConfigurationGuide, 9.1 подробно описаны шаги для корректной настройки времени и даты на ASA.
Используемые компоненты
В этом документе используется ASA 5500-X, который работает с ПО версии 9.4.1 и ASDMверсии 7.4(1).
Сведения, представленные в этом документе, были получены от устройств, работающих вспециальной лабораторной среде. Все устройства, описанные в этом документе, былизапущены с чистой (стандартной) конфигурацией. В рабочей сети необходимо изучитьпотенциальное воздействие всех команд до их использования.
Настройка
Протокол SSL указывает, какой SSL-сервер предоставляет клиенту сертификат сервера,чтобы клиент выполнил аутентификацию сервера. Cisco не рекомендует использоватьсамозаверяющий сертификат, потому что пользователь может непреднамеренно настроитьбраузер для доверия сертификату от подставного сервера. Кроме того, пользователямприходится терпеть неудобства, отвечая на предупреждение системы безопасности, когдаон подключается к защищенному шлюзу. Рекомендуется использовать с этой цельюдоверенные сторонние центры сертификации для выпуска SSL-сертификатов ASA.
Жизненный цикл стороннего сертификата на ASA по существу состоит из следующихэтапов:
Это первый шаг в жизненном цикле любого цифрового сертификата X.509. После того, каксоздана частная/общая пара ключей RSA или ECDSA (приложение A содержит подобныесведения о различиях между использованием RSA или ECDSA), формируется запросподписывания сертификата (CSR). CSR является сообщением в формате PKCS10, котороесодержит общий ключ и сведения об удостоверении запрашивающего хоста. Форматыданных PKI объясняют другие форматы сертификата, применимые к ASA и Cisco IOS®.
Примечания:1. Проверьте в CA сведения о требуемом размере пары ключей. Форум CA/Browserпостановил, что все сертификаты, создаваемые центрами сертификации-участниками,имеют минимальный размер 2048 разрядов. 2. В настоящее время ASA не поддерживает 4096-разрядные ключи (идентификаторошибки Cisco CSCut53512) для аутентификации SSL-сервера. Однако IKEv2поддерживает использование 4096-разрядных сертификатов сервера только наплатформах ASA 5580, 5585 и 5500-X.3. Используйте имя DNS ASA в поле полностью квалифицированного имени доменаCSR, чтобы предотвратить предупреждения о недоверяемых сертификатах и пройтистрогую проверку сертификата.
Создать CSR можно с любым из трех следующих методов:
Перейдите к Configuration > Remote Access VPN > Certificate Management(Конфигурация >VPN удаленного доступа > Управление сертификатами) и выберитеIdentity Certificates (Сертификаты удостоверений).
1.
Нажмите Add.2.
Определите название точки доверия в разделе Trustpoint Name (Имя точки доверия).3.Установите переключатель в положение Add a new identity certificate.4.Для параметра «Key Pair» нажмите кнопку New.5.
Выберите тип ключа — RSA или ECDSA. (См. приложение A, где описаны различиямежду ними.
6.
Установите переключатель в положение Enter new key pair name. Задайте для именипары ключей понятное название, чтобы с ней было проще обращаться.
7.
Выберите Key Size (Размер ключа). Кроме того, если вы используете RSA, выберитеGeneral Purpose for Usage (Общего назначения для использования).
8.
Нажмите кнопку Generate Now. Теперь нужно создать пару ключей.9.Чтобы определить значение поля «Certificate Subject DN», нажмите кнопку Select ивведите значения для атрибутов, перечисленных в следующей таблице:
Чтобы настроить эти значения, выберите значение в раскрывающемся списке"Атрибут", введите его и щелкнитеAdd.
10.
Примечание.Для некоторых независимых поставщиков может потребоватьсядобавление особых атрибутов, прежде чем идентификационный сертификат будетвыпущен. Если вы не уверены относительно обязательных атрибутов, обратитесь задополнительной информацией к поставщику.После добавления соответствующих значений нажмите кнопку OK. Откроетсядиалоговое окно «Add Identity Certificate» с заполненным полем «Certificate SubjectDN».
11.
Нажмите кнопку Advanced.12.
В поле FQDN введите полностью квалифицированное имя домена, котороеиспользуется для доступа к устройству из Интернета. Нажмите кнопку ОК.
13.
Оставьте установленным флаг Enable CA (Включить центр сертификации) в опциирасширения основных ограничений. В настоящее время сертификаты без флага CAне могут быть установлены на ASA как сертификаты CA по умолчанию. Расширениеосновных ограничений указывает, является ли CA субъектом сертификата, иопределяет максимальную глубина допустимых путей сертификации, которыевключают этот сертификат. Обойдите это требование, сняв данный флажок.
14.
Щелкните OK, а затем выберите Add Certificate. Приглашение отображается длясохранения CSR в файле на локальном компьютере.
15.
Щелкните Browse, выберите местоположение для сохранения CSR и сохраните файлс расширением .txt. Примечание. Если файл сохранен с расширением .txt, запросPKCS#10 может быть открыт и просмотрен в текстовым редакторе (таком какБлокнот).
16.
2. Настройка из интерфейса командной строки ASA
В ASDM автоматически создается точка доверия, когда формируется CSR или когдаустановлен сертификат CA. В интерфейсе командной строки точку доверия необходимосоздать вручную.
! Generates 2048 bit RSA key pair with label SSL-Keypair.
-----END CERTIFICATE REQUEST----- Redisplay enrollment request? [yes/no]: no
! Displays the PKCS#10 enrollment request to the terminal. Copy this from the terminal
to a text file to submit to the third party CA.
3. Использование OpenSSL для создания CSR
OpenSSL использует файл OpenSSL config для получения атрибутов, которые будутиспользоваться при формировании CSR. Этот процесс приводит к созданию CSR изакрытого ключа.
Внимание. : Убедитесь, что закрытый ключ, который формируется, не являетсяобщим, поскольку это может поставить под угрозу целостность сертификата.
Убедитесь, что OpenSSL установлен в системе, на которой выполняется этот процесс.Для пользователей MAC OSX и GNU/Linux установка выполняется по умолчанию.
1.
Перейдите к рабочему каталогу. В Windows: По умолчанию утилиты устанавливаются вкаталоге C:\Openssl\bin. Откройте командную строку в этом расположении.На MACOSX/Linux: Откройтесь окно терминала в каталоге, необходимом для создания CSR.
2.
Создайте с помощью текстового редактора файл OpenSSL config с атрибутами,приведенными ниже. После того, как сделанный, сохраните файл как openssl.cnf вместоположении, упомянутом в предыдущем шаге (Если вы версия 0.9.8 h и позже,файл является openssl.cfg), [req]
default_bits = 2048
default_keyfile = privatekey.key
distinguished_name = req_distinguished_name
req_extensions = req_ext
[req_distinguished_name]
commonName = Common Name (eg, YOUR name)
commonName_default = vpn.remoteasa.com
countryName = Country Name (2 letter code)
countryName_default = US
3.
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = California
localityName = Locality Name (eg, city)
localityName_default = San Jose
0.organizationName = Organization Name (eg, company)
0.organizationName_default = Company Inc
[req_ext]
subjectAltName = @alt_names
[alt_names]
DNS.1 = *.remoteasa.com
Сформируйте CSR и закрытый ключ с помощью следующей команды: openssl req -new-nodes -out CSR.csr -config openssl.cnf # Sample CSR Generation:
........................................+++ writing new private key to 'privatekey.key' ---
-- You are about to be asked to enter information that will be incorporated into your
certificate request. What you are about to enter is what is called a Distinguished Name or
a DN. There are quite a few fields but you can leave some blank For some fields there will
be a default value, If you enter '.', the field will be left blank. ----- Common Name (eg,
YOUR name) [vpn.remoteasa.com]: Country Name (2 letter code) [US]: State or Province Name
(full name) [California]: Locality Name (eg, city) [San Jose]: Organization Name (eg,
company) [Company Inc]:
Отправьте сохраненный CSR независимому поставщику CA. Как только сертификатвыпущен, центр сертификации предоставляет сертификат удостоверения исертификат CA, который будет установлен на ASA.
4.
Создание сертификата SSL в центре сертификации
Следующий шаг — подписать CSR из центра сертификации. CA предоставляет вновьсозданный сертификат удостоверения в формате PEM или сертификат PKCS12 наряду спакетом сертификата CA.
Если CSR формируется вне ASA (или через OpenSSL, или на самом центре сертификации),сертификат удостоверения с частным ключом в формате PEM и сертификат CA будутдоступны как отдельные файлы. Приложение B предоставляет шаги для объединения этихэлементов в один файл PKCS12 (формат .p12 или .pfx).
В этом документе центр сертификации GoDaddy используется в качестве примера длявыпуска сертификатов удостоверений для ASA. Этот процесс может быть иным у другихпоставщиков CA. Внимательно прочитайте документацию CA перед продолжением.
Пример создания сертификата SSL в центре сертификации GoDaddy
После покупки и фазы начальной настройки сертификата SSL перейдите к учетной записиGoDaddy и просмотрите сертификаты SSL. Там должен быть новый сертификат. НажмитеManage (Управлять) для продолжения.
Затем выводится страница для ввода CSR, как показано на этом рисунке. На основевведенного CSR центр сертификации определяет имя домена, для которого должен бытьвыдан сертификат. Проверьте соответствие с полностью квалифицированным именемдомена ASA.
Примечание. GoDaddy и большинство других центров сертификации используют SHA-2 или SHA256 в качестве алгоритма подписи сертификата по умолчанию. ASAподдерживает алгоритм подписывания SHA-2, начиная с 8.2(5) [выпуски до 8.3] и 8.4(1)[выпуски после 8.3] и далее (идентификатор ошибки Cisco CSCti30937). Выберитеалгоритм подписи SHA-1, если используется версия, более старая, чем 8.2(5) или8.4(1).
После того как запрос отправлен, GoDaddy проверяет запрос, прежде чем выдать
сертификат.
После того как запрос сертификата проверен, GoDaddy выпускает сертификат для учетнойзаписи. После этого сертификат может быть загружен для установки на ASA. НажмитеDownload (Загрузить) на странице для продолжения.
Выберите Other (Другой) в качестве типа сервера и загрузите zip-пакет сертификата.
.zip содержит сертификат удостоверения и пакет цепочки сертификатов центра
сертификации GoDaddy в виде двух отдельных .crt-файлов. Продолжайте установкусертификата SSL, чтобы установить эти сертификаты на ASA.
Установка сертификата SSL на ASA
Сертификат SSL может быть установлен на ASA с помощью ASDM или интерфейсакомандной строки двумя способами:
Импортируйте CA и сертификат удостоверения отдельно в форматах PEM.1. Или импортируйте файл PKCS12 (в коде base64 для интерфейса командной строки),где сертификат удостоверения, сертификат CA и частный ключ упакованы в файлеPKCS12. Примечание. Если центр сертификации предоставляет цепочку сертификатовCA, установите только немедленный промежуточный сертификат CA в иерархии наточке доверия, используемой для создания CSR. Корневой сертификат CA и любыедругие промежуточные сертификаты CA могут быть установлены в новых точкахдоверия.
2.
1.1. Установка сертификата удостоверений в формате PEM с ASDM
Данные шаги установки предполагают, что центр сертификации предоставляет сертификатудостоверения в формате PEM (.pem, .cer, .crt) и пакет сертификата CA.
Перейдите к Configuration > Remote Access VPN > Certificate Management(Конфигурации > VPN для удаленного доступа > Управление сертификатами) ивыберите сертификаты CA.
1.
PEM кодирует сертификат в текстовом редакторе, копирует сертификат CA в форматеbase64, предоставленный сторонним поставщиком, и вставляет в текстовое поле.
2.
Нажмите кнопку Install Certificate (Установить сертификат).3.Перейдите к Configuration > Remote Access VPN > Certificate Management(Конфигурация >VPN удаленного доступа > Управление сертификатами) и выберитеIdentity Certificates (Сертификаты удостоверений).
4.
Выберите сертификат удостоверения, созданный ранее. Нажмите кнопку Install(Установить).
5.
Щелкните параметр Install from a file (Установить из файла) и выберите сертификатудостоверения в формате PEM или откройте сертификат в формате PEM в текстовомредакторе, и скопируйте и вставьте сертификат удостоверения в формате base64,предоставленный сторонним поставщиком, в текстовоеполе.
6.
Нажмите Add Certificate (Добавить сертификат).7.
Перейдите к Configuration > Remote Access VPN > Advanced > SSL Settings(Конфигурация > VPN для удаленного доступа > Дополнительно > Параметры SSL).
8.
В разделе Certificates (Сертификаты) выберите интерфейс, который используется длязавершения сеансов WebVPN. В этом примере применяется внешний интерфейс.
9.
Нажмите Edit.10.В раскрывающемся списке Certificate (Сертификат) выберите вновь установленныйсертификат.
11.
Нажмите кнопку ОК.12.Нажмите Apply. Теперь новый сертификат необходимо использовать для всехсеансов WebVPN, которые завершаются на заданном интерфейсе.
13.
1.2. Установка сертификата PEM с помощью интерфейса командной строки
MainASA(config)# crypto ca authenticate SSL-Trustpoint
Enter the base 64 encoded CA certificate. End with the word "quit" on a line by itself
В случае если CSR не формируется на ASA, например в случае группового сертификатаили при создании сертификата UC, сертификат удостоверения наряду с частным ключомможет быть получен как отдельный файл или одиночный связанный файл PKCS12 (формат.p12 или pfx). Для установки этого типа сертификата выполните следующие действия.
Сертификат удостоверения, сертификат CA и закрытый ключ должны быть упакованыв один файл PKCS12. Приложение B предоставляет шаги для работы с OpenSSL. Есливсе уже упаковано центром сертификации, перейдите к следующему шагу.
1.
Перейдите к Configuration > Remote Access VPN > Certificate Management(Конфигурация >VPN удаленного доступа > Управление сертификатами) и выберитеIdentity Certificates (Сертификаты удостоверений).
2.
Нажмите Add.3.Задайте имя точки доверия.4.Щелкните переключатель Import the identity certificate from a file (Импортироватьсертификат удостоверения из файла).
5.
Введите парольную фразу, использованную при создании файла PKCS12.Просмотрите и выберите файл PKCS12. Введите парольную фразу сертификата.
6.
Нажмите Add Certificate (Добавить сертификат).7.
Перейдите к Configuration > Remote Access VPN > Advanced (Конфигурация > VPN дляудаленного доступа > Дополнительно) и выберите SSL Settings (Параметры SSL).
8.
В разделе Certificates (Сертификаты) выберите интерфейс, который используется длязавершения сеансов WebVPN. В этом примере применяется внешний интерфейс.
9.
Нажмите Edit.10.В раскрывающемся списке Certificate (Сертификат) выберите вновь установленныйсертификат.
11.
Нажмите кнопку ОК.12.Нажмите Apply. Теперь новый сертификат необходимо использовать для всехсеансов WebVPN, которые завершаются на заданном интерфейсе.
13.
2.2. Установка сертификата PKCS12 с помощью интерфейса командной строки
MainASA(config)# crypto ca trustpoint SSL-Trustpoint-PKCS12
!!! Link the SSL trustpoint to the appropriate interface MainASA(config)# ssl trust-point SSL-
Trustpoint-PKCS12 outside
Проверка
Используйте эти шаги, чтобы проверить успешность установки сертификата стороннегопоставщика и его использования для соединений SSLVPN.
Просмотр установленных сертификатов через ASDM
Перейдите к Configuration > Remote Access VPN > Certificate Management(Конфигурация >VPN удаленного доступа > Управление сертификатами) и выберитеIdentity Certificates (Сертификаты удостоверений).
1.
Должен появиться сертификат удостоверения, выпущенный сторонним поставщиком.2.
Просмотр установленных сертификатов при помощи интерфейса команднойстроки
MainASA(config)# show crypto ca certificate
Certificate
Status: Available
Certificate Serial Number: 25cd73a984070605
Certificate Usage: General Purpose
Public Key Type: RSA (2048 bits)
Signature Algorithm: SHA256 with RSA Encryption
Issuer Name:
cn=Go Daddy Secure Certificate Authority - G2
ou=http://certs.godaddy.com/repository/
o=GoDaddy.com\, Inc.
l=Scottsdale
st=Arizona
c=US
Subject Name:
cn=vpn.remoteasa.com
ou=Domain Control Validated
OCSP AIA:
URL: http://ocsp.godaddy.com/
CRL Distribution Points:
[1] http://crl.godaddy.com/gdig2s1-96.crl
Validity Date:
start date: 12:04:38 UTC Jul 22 2015
end date: 12:04:38 UTC Jul 22 2016
Associated Trustpoints: SSL-Trustpoint
CA Certificate
Status: Available
Certificate Serial Number: 07
Certificate Usage: General Purpose
Public Key Type: RSA (2048 bits)
Signature Algorithm: SHA256 with RSA Encryption
Issuer Name:
cn=Go Daddy Root Certificate Authority - G2
o=GoDaddy.com\, Inc.
l=Scottsdale
st=Arizona
c=US
Subject Name:
cn=Go Daddy Secure Certificate Authority - G2
ou=http://certs.godaddy.com/repository/
o=GoDaddy.com\, Inc.
l=Scottsdale
st=Arizona
c=US
OCSP AIA:
URL: http://ocsp.godaddy.com/
CRL Distribution Points:
[1] http://crl.godaddy.com/gdroot-g2.crl
Validity Date:
start date: 07:00:00 UTC May 3 2011
end date: 07:00:00 UTC May 3 2031
Associated Trustpoints: SSL-Trustpoint
CA Certificate
Status: Available
Certificate Serial Number: 1be715
Certificate Usage: General Purpose
Public Key Type: RSA (2048 bits)
Signature Algorithm: SHA256 with RSA Encryption
Issuer Name:
ou=Go Daddy Class 2 Certification Authority
o=The Go Daddy Group\, Inc.
c=US
Subject Name:
cn=Go Daddy Root Certificate Authority - G2
o=GoDaddy.com\, Inc.
l=Scottsdale
st=Arizona
c=US
OCSP AIA:
URL: http://ocsp.godaddy.com/
CRL Distribution Points:
[1] http://crl.godaddy.com/gdroot.crl
Validity Date:
start date: 07:00:00 UTC Jan 1 2014
end date: 07:00:00 UTC May 30 2031
Associated Trustpoints: SSL-Trustpoint-1
...(and the rest of the Sub CA certificates till the Root CA)
Проверка установленного сертификата для WebVPN с помощью браузера
Чтобы удостовериться в том, что в WebVPN используется новый сертификат, выполнитеследующие действия:
Подключитесь к интерфейсу WebVPN через веб-обозреватель. Используйте https://наряду с используемым FQDN, чтобы запросить сертификат (например,https://vpn.remoteasa.com).
1.
Дважды щелкните значок замка, который расположен в правом нижнем углу страницывхода в WebVPN. Должна появиться информация об установленном сертификате.
2.
Просмотрите содержимое, чтобы проверить соответствие сертификату, выданномусторонним поставщиком.
Восстановите CSR на ASA или с помощью OpenSSL, или в центре сертификации сиспользованием тех же атрибутов, как у старого сертификата. Выполните действия,приведенные в Создание CSR.
1.
Отправьте CSR в центр сертификации и сформируйте новый сертификатудостоверения в формате PEM (.pem, .cer, .crt) наряду с сертификатом CA. В случаесертификата PKCS12 также будет создан новый закрытый ключ. В случае центрасертификации GoDadd сертификат может быть повторно создан с вновьсформированным CSR.Перейдите к учетной записи GoDaddy и нажмите Manage(Управление) в разделе SSL Certificates (СертификатыSSL).
2.
Нажмите View Status (Просмотр статуса) для требуемого именидомена.
Нажмите Manage (Управление), чтобы предоставить варианты повторного созданияключасертификата.
Разверните пункт Re-Key certificate (Повторное создание ключа для сертификата) и
добавьте новыйCSR.
Сохраните изменения и перейдите к следующему шагу. GoDaddy выпустит новыйсертификат на основе предоставленного CSR.Установите новый сертификат на новой точке доверия, как показано в разделеустановки сертификата SSL на ASA.
3.
Вопросы и ответы
1. Каков лучший способ передачи сертификатов удостоверений из одного ASAв другой ASA?
Экспортируйте сертификат наряду с ключами для файла PKCS12.
Используйте эту команду для экспорта сертификата через интерфейс командной строки изисходного ASA:
ASA(config)#crypto ca export <trust-point-name> pkcs12 <passphrase>
Соответствующая конфигурация ASDM:
Используйте эту команду для импорта сертификата через интерфейс командной строки вцелевой ASA:
ASA(config)#crypto ca import <trust-point-name> pkcs12 <passphrase>
Соответствующая конфигурация ASDM:
Это можно также сделать через функцию резервного копирования/восстановления наASDM, выполнив следующие действия:
Выполните вход в ASA через ASDM и выберите Tools > Backup Configuration(Инструменты > Конфигурация резервного копирования).
1.
Выполните резервное копирование всей конфигурации или просто сертификатовудостоверений.
2.
На целевом ASA откройте ASDM и выберите Tools> Restore Configuration (Инструменты> Конфигурация восстановления).
3.
2. Как создать сертификаты SSL для использования при распределениинагрузки VPN для ASA?
Существует несколько способов, с помощью которых можно установить ASA ссертификатами SSL для среды с распределением нагрузки VPN.
Используйте один сертификат UCC, который имеет полностью квалифицированноеимя домена для балансировки нагрузки в качестве DN и каждое из имен FQDN ASA вкачестве отдельного альтернативного имени субъекта (SAN). Существует несколькоизвестных центров сертификации, в том числе GoDaddy, Entrust, Comodo и других,поддерживающих такие сертификаты. Выбирая этот метод, важно помнить, что в
1.
настоящее время ASA не поддерживает создание CSR с несколькими полями SAN. Этозадокументировано в идентификаторе ошибки расширения Cisco CSCso70867. В этомслучае существует два варианта создания CSR Из интерфейса командной строки или вASDM. Когда CSR будет отправлен в центр сертификации, добавьте в несколько SANна самом портале центра сертификации.Используйте OpenSSL, чтобы создать CSR, ивключайте несколько SAN в файл openssl.cnf, как показано в этом разделе.Как толькоCSR отправлен в центр сертификации и сертификат создан, импортируйте этотсертификат PEM в ASA, который создал CSR. После завершения экспортируйте иимпортируйте этот сертификат в формате PKCS12 на другие задействованные ASA,как показано в предыдущем вопросе.Используйте групповой сертификат. Это менее безопасный и гибкий метод посравнению с использованием сертификата UC. В случае если центр сертификации неподдерживает сертификаты UC, CSR может быть создан на центре сертификации илис помощью OpenSSL, где FQDN в форме *.domain.com. Как только CSR отправлен вцентр сертификации и создан сертификат, импортируйте сертификат PKCS12 на всеASA в кластере.
2.
Используйте отдельный сертификат для каждого из задействованных ASA и дляполностью квалифицированного доменного имени для балансировки нагрузки. Этонаименее эффективное решение. Сертификаты для каждого из отдельных ASA могутбыть созданы, как показано в этом документе. Сертификат для полностьюквалифицированного имени домена для балансировки нагрузки VPN будет создан наодном ASA и экспортирован и импортирован как сертификат PKCS12 на другие ASA.
3.
3. Нужно ли копировать сертификаты из основного ASA на вспомогательныйASA в паре переключения ASA при отказе?
Нет необходимости вручную копировать сертификаты из основного на вспомогательныйASA, поскольку сертификаты должны быть синхронизированы между ASA при условии, чтонастроен режим переключения при отказе с сохранением состояния. Если при начальнойнастройке переключения при отказе сертификаты не обнаружены на резервном устройстве,выполните команду write standby для принудительной синхронизации.
4. Отличается ли процесс создания сертификата SSL, если используютсяключи ECDSA?
Единственной разницей в конфигурации является шаг создания пары ключей, на которомбудет создана пара ключей ECDSA вместо пары ключей RSA. Остальные шаги остаютсятакими же. Команда CLI для создания ключей ECDSA показана ниже:
Предупреждение о ненадежном сертификате при использовании допустимого стороннегосертификата SSL на внешнем интерфейсе на ASA с версией 9.4(1) и более поздней.
Решение: Проблема проявляется, когда с сертификатом используется ключевая пара RSA.В версиях ASA 9.4(1) и более поздних все шифры ECDSA и RSA включены по умолчанию исамый надежный шифр (обычно шифр ECDSA) будет использоваться для согласования.Если это происходит, ASA представляет самозаверяющий сертификат вместо текущегонастроенного сертификата на основе RSA. Внесено улучшение с целью изменитьповедение, когда сертификат на основе RSA установлен на интерфейсе и отслеживаетсяидентификатором ошибки Cisco CSCuu02848.
Рекомендуемое действие: Отключите шифры ECDSA с помощью следующих команд CLI:
Или с помощью ASDM перейдите к Configuration > Remote Access VPN > > Advanced(Конфигурация > VPN для удаленного доступа > Дополнительно) и выберите SSL Settings(Параметры SSL). Под разделом Шифрования выберите tlsv1.2 версию Шифра иотредактируйте его с пользовательской строкой AES256-SHA:AES128-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:DES-CBC3-SHA:DES-CBC-SHA:RC4-SHA:RC4-MD5
Приложение
Приложение А: ECDSA или RSA
Алгоритм ECDSA является частью метода шифрования на основе эллиптических кривых(ECC) и использует уравнение эллиптической кривой для создания общего ключа, тогда какв алгоритме RSA используется произведение двух простых чисел плюс меньшее число длясоздания общего ключа. Таким образом, ECDSA обеспечивает такой же уровеньбезопасности, что и RSA, но с меньшими ключами. В результате сокращается времявычислений и увеличивается время соединения для узлов, использующих сертификатыECDSA.
Дополнительные сведения приведены в документе Next Generation Cryptography and theASA.
Приложение Б: Использование OpenSSL для создания сертификата PKCS12из сертификата удостоверения, сертификата CA и частного ключа
Убедитесь, что OpenSSL установлен в системе, на которой выполняется этот процесс.Для пользователей MAC OSX и GNU/Linux установка выполняется по умолчанию.
1.
Перейдите к рабочему каталогу. В Windows: По умолчанию утилиты устанавливаются вкаталоге C:\Openssl\bin. Откройте командную строку в этом расположении.На MACOSX/Linux: Откройте окно терминала в каталоге, необходимом для созданиясертификата PKCS12.
2.
В каталоге, упомянутом на предыдущем шаге, сохраните файлы частного ключа(privateKey.key), сертификата удостоверения (certificate.crt) и цепочки корневогосертификата CA (CACert.crt). Объедините закрытый ключ, сертификат удостоверения ицепочку корневого сертификата CA в файле PKCS12. Вы получите приглашение ввестифразу-пароль для защиты сертификата PKCS12. MainASA(config)# cry key generate ecdsa label SSL-Keypair elliptic-curve 256
INFO: The name for the keys will be: SSL-Keypair
Keypair generation process begin. Please wait...
3.
Преобразуйте сертификат PKCS12, созданный выше, в сертификат в формате Base64:openssl base64 -in certificate.pfx -out certificate.p12
4.
Затем импортируйте сертификат, созданный на последнем шаге, для использования с SSL.
Дополнительные сведения
Руководство по настройке ASA 9.x — настройка цифровых сертификатов●
Получение цифрового сертификата в Microsoft Windows CA с помощью ASDM на ASA●
Cisco Systems – техническая поддержка и документация●