与FMC集成的Threat Grid设备故障排除

下载选项

PDF (5.0 MB)
在各种设备上使用 Adobe Reader 查看
ePub (5.1 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (2.9 MB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2021 年 4 月 26 日

文档 ID:217064

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档详细介绍与Firepower管理中心(FMC)的线程网格设备(TGA)集成。

先决条件

要求

Cisco 建议您了解以下主题：

Firepower管理FMC
Threat Grid设备基本配置
创建授权证书(CA)
Linux/Unix

使用的组件

本文档中的信息基于以下软件和硬件版本：

FMC版本6.6.1
Threat Grid 2.12.2
CentOS 8

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

问题

在此使用的案例场景中，您可以看到2个问题和2个错误代码。

场景 1

集成失败，但出现错误：

Sandbox registration failed: Peer certificate cannot be authenticated with given CA certificates (code = 60)

在此问题中，问题与未作为完整链上传到FMC的证书有关。由于使用了CA签名的证书，因此需要将整个证书链合并到一个PEM文件中。换句话说，您以根CA >中间证书（如果适用）> Clean Int开头。请参阅官方指南中介绍要求和程序的本文。

如果存在多级CA签名链，则所有必需的中间证书和根证书必须包含在上传到FMC的单个文件中。

所有证书都必须采用PEM编码。

文件的新行必须是UNIX，而不是DOS。

如果Threat Grid设备提供自签名证书，请上传您从该设备下载的证书。

如果Threat Grid设备提供CA签名的证书，请上传包含证书签名链的文件。

场景 2

证书格式错误无效

Invalid Certificate format (must be PEM encoded) (code=0)

证书格式错误，如图所示。

此错误是由于在使用OpenSSL的Windows计算机上创建的组合PEM证书的格式错误所致。强烈建议使用Linux计算机创建此证书。

集成

步骤1.配置TGA，如图所示。

Clean Admin接口的内部CA签名证书

步骤1.生成用于管理界面和干净界面的私钥。

openssl ecparam -name secp521r1 -genkey -out private-ec-key.pem

步骤2.生成CSR。

干净的接口

步骤1.导航至CSR创建并使用生成的私钥。

openssl req -new -key private-ec-key.pem -out MYCSR.csr

注意：必须为CSR输入CN名称，并且必须与“Network”下定义的Clean接口的主机名匹配。DNS服务器上必须存在DNS条目，该条目解析了Clean接口主机名。‌

管理界面

步骤1.导航至CSR创建并使用生成的私钥。

openssl req -new -key private-ec-key.pem -out MYCSR.csr

注意：必须为CSR输入CN名称，并且必须与“Network”下定义的“admin interface”的“hostname”匹配。DNS服务器上必须存在DNS条目，该条目解析了干净的接口主机名。‌

步骤2. CSR由CA签署。以DER格式下载证书，其中包含CER扩展名。

步骤3.将CER转换为PEM。

openssl x509 -inform DER -outform PEM -in xxxx.cer -out yyyy.pem

CSR和CER到PEM的干净接口

管理接口CSR和CER到PEM

FMC证书的正确格式

如果您已经获得证书，并且证书为CER/CRT格式，并且使用文本编辑器时可读，您只需将扩展更改为PEM。

如果证书不可读，您需要将DER格式转换为PEM可读格式。

openssl x509 -inform DER -outform PEM -in xxxx.cer -out yyyy.pem

PEM

PEM可读格式示例，如图所示。

DER

DER可读格式示例，如图所示

在Windows中创建的证书与在Linux中创建的证书之间的差异

您可以在记事本++中使用Compare 插件对两个证书进行简单的并排比较，#68行中的编码区别被删除。在左侧，您可以看到在Windows中创建的证书，在右侧，您可以找到在Linux计算机上生成的证书。左侧的回车符返回，使该证书PEM对FMC无效。但是，除记事本++中的一行外，无法区分文本编辑器中的区别。