Comprendre les informations de certificat pour créer une chaîne pour le WLC 9800

Introduction

Ce document décrit comment décoder un certificat avec des outils en ligne bien connus et leur interprétation pour créer une chaîne de certificats dans le WLC 9800.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Contrôleur LAN sans fil (WLC) Cisco Catalyst 9800
• Certificat numérique, concept CSR (Certificate Signing Request).
• Logiciel OpenSSL.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Logiciel OpenSSL dans la version 1.1.1w
• ordinateur Windows

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Génération CSR

Le CSR peut être généré dans le contrôleur ou avec OpenSSL. 

Pour générer un CSR dans le WLC 9800, accédez à Configuration > Security > PKI Management > Add Certificate > Generate Certificate Signing Request.

Lorsqu'une demande de signature de certificat est générée, des informations telles qu'une clé privée, un nom commun (CN), un code de pays, un état, un emplacement, une organisation et une unité d'organisation sont requises.

Génération CSR dans WLC

Toutes les informations CSR renseignées dans la demande sont affichées dans le décodage.

Le logiciel OpenSSL est la seule source de vérité lorsqu'un certificat est décodé. Il montre toutes les informations à ce sujet.

Pour décoder un certificat dans un ordinateur Windows ou MacBook avec OpenSSL installé, ouvrez l'invite de commandes en tant qu'administrateur et exécutez la commande openssl x509 -in <certificate.crt> -text -noout. Le résultat est affiché sous forme d'informations de console.

Il existe d'autres outils en ligne pour décoder les certificats qui affichent le résultat d'une manière plus conviviale, tels que CertLogik et SSL Shopper qui ne sont pas présentés dans ce document.

Sachez qu'ils utilisent la même commande OpenSSL déjà mentionnée pour décoder les certificats.

Certificat de tiers

Le CSR est envoyé à l'autorité de certification (AC) pour qu'il soit signé et renvoyé. Téléchargez toute la chaîne de certificats afin de pouvoir la télécharger sur le WLC.

Pour comprendre la chaîne d'un certificat, tous les fichiers reçus par l'autorité de certification peuvent être décodés. Assurez-vous qu'ils sont au format Base64.

Vous pouvez recevoir plusieurs fichiers de l'autorité de certification. Cela dépend du nombre de fichiers CA intermédiaires.

Pour identifier chaque fichier, vous devez le décoder.

Lorsqu'un certificat signé est décodé, la section Émetteur est ajoutée. Il s'agit de l'autorité de certification qui a signé le certificat.

Si vous décodez un fichier CSR qui n'est pas signé, la section Émetteur n'existe pas parce qu'elle n'est pas encore signée.

Voici un exemple de scénario d'autorisation multiniveau ou de certificat enchaîné :

• Autorité de certification racine
• Certificat CA intermédiaire
• Certificat de périphérique

CA racine décodée

Pour une autorité de certification racine, étant donné que est la plus haute autorité de la chaîne, l'émetteur et l'objet doivent être identiques.

CA racine décodée

CA intermédiaire décodé

Pour l'autorité de certification intermédiaire, puisqu'elle est signée par l'autorité de certification racine, l'émetteur doit correspondre au CN de l'autorité de certification racine.

CA intermédiaire décodé

Certificat de périphérique décodé

Pour le certificat de périphérique, puisqu'il est signé par l'AC intermédiaire, l'émetteur doit correspondre au CN de l'AC intermédiaire

Certificat de périphérique décodé

Dans un scénario où plus d'une autorité de certification intermédiaire est utilisée, utilisez le même processus de décodage.

Une fois l'ordre de la chaîne identifié, il peut être téléchargé vers le contrôleur.

Le WLC 9800 a besoin de toute la chaîne dans le bon ordre afin que le certificat puisse fonctionner correctement.

Pour les étapes suivantes pour télécharger un certificat vers le contrôleur, référez-vous à Générer et télécharger des certificats CSR sur des WLC Catalyst 9800.

Assurez-vous de bien comprendre le processus de décodage avant de continuer. Si c'est le cas, les étapes suivantes doivent être effectuées pour qu'un certificat Web Auth, Web Admin ou Management soit téléchargé dans un WLC 9800.