Información sobre certificados para crear una cadena para el WLC 9800

Introducción

Este documento describe cómo decodificar un certificado con herramientas en línea conocidas y su interpretación para crear una cadena de certificados en el WLC 9800.

Prerequisites

Requirements

Cisco recomienda tener conocimientos básicos sobre estos temas:

• Controlador de LAN inalámbrica (WLC) Cisco Catalyst 9800
• Certificado digital, concepto de solicitud de firma de certificado (CSR).
• Software OpenSSL.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Software OpenSSL en la versión 1.1.1w
• ordenador con Windows

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Generación de CSR

El CSR se puede generar en el controlador o con OpenSSL. 

Para generar un CSR en el WLC 9800, navegue hasta Configuration > Security > PKI Management > Add Certificate > Generate Certificate Signing Request.

Cuando se genera una Solicitud de firma de certificado, se requiere información como una clave privada, nombre común (CN), código de país, estado, ubicación, organización y unidad organizativa.

Generación de CSR en WLC

Toda la información de CSR que se haya rellenado en la solicitud se mostrará en la descodificación.

El software OpenSSL es la única fuente de veracidad cuando se decodifica un certificado. Muestra toda la información al respecto.

Para descodificar un certificado en un equipo Windows o MacBook con OpenSSL instalado, abra el símbolo del sistema como Administrador y ejecute el comando openssl x509 -in <certificate.crt> -text -noout. El resultado se muestra como información de la consola.

Existen otras herramientas en línea para decodificar certificados que muestran el resultado de una manera más fácil de usar, como CertLogik y SSL Shopper, que no se presentan en este documento.

Tenga en cuenta que utilizan el mismo comando OpenSSL ya mencionado para descodificar los certificados.

Certificado de terceros

El CSR se envía a la autoridad de certificación (CA) para que lo firme y lo devuelva. Descargue toda la cadena de certificados para que pueda cargarla al WLC.

Para comprender la cadena de un certificado, se pueden descodificar todos los archivos recibidos por la CA. Asegúrese de que están en formato Base64.

Puede recibir varios archivos de la CA. Depende del número de archivos de CA intermedia.

Para identificar cada archivo, debe descodificarlo.

Cuando se descodifica un certificado firmado, se agrega la sección Emisor. Hace referencia a la CA que firmó el certificado.

Si descodifica un archivo CSR que no está firmado, la sección Emisor no existe porque aún no está firmado.

Este es un ejemplo de un escenario de autorización multinivel o certificado encadenado:

• CA raíz
• Certificado de CA intermedio
• Certificado de dispositivo

CA raíz descodificada

Para una CA raíz, ya que es la autoridad más alta de la cadena, el Emisor y el Asunto deben ser iguales.

CA raíz descodificada

CA intermedia descodificada

Para la CA intermedia, dado que está firmada por la CA raíz, el emisor debe coincidir con la CA raíz CN.

CA intermedia descodificada

Certificado de dispositivo decodificado

Para el certificado del dispositivo, dado que está firmado por la CA intermedia, el emisor debe coincidir con la CA intermedia CN

Certificado de dispositivo decodificado

En un escenario en el que se utilice más de una CA intermedia, utilice el mismo proceso de descodificación.

Una vez identificado el orden de la cadena, se puede cargar en el controlador.

El 9800 WLC necesita toda la cadena en el orden correcto para que el certificado pueda funcionar correctamente.

Para conocer los pasos subsiguientes para cargar un certificado en el controlador, consulte Generación y descarga de certificados CSR en WLC Catalyst 9800.

Asegúrese de comprender el proceso de descodificación antes de continuar. Si es así, los siguientes pasos deben ser completados para tener un certificado de Web Auth, Web Admin, o Management cargado en un WLC 9800.