المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

تثبيت الشهادة

تسجيل الشهادة الموقع ذاتيا

التسجيل بواسطة طلب توقيع الشهادة (CSR)

تسجيل PKCS12

تجديد الشهادة

تجديد الشهادة الموقعة ذاتيا

تجديد الشهادة المسجلة مع طلب توقيع الشهادة (CSR)

تجديد PKCS12

معلومات ذات صلة

المقدمة

يوضح هذا المستند كيفية طلب أنواع معينة من الشهادات على برنامج Cisco ASA المدار باستخدام CLI (واجهة سطر الأوامر) وتثبيتها وتوثيقها وتجديدها.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- تحقق من أن جهاز الأمان القابل للتكيف (ASA) يتوفر عليه وقت الساعة والتاريخ والمنطقة الزمنية الصحيحة. مع مصادقة الشهادة، يوصى باستخدام خادم بروتوكول وقت الشبكة (NTP) لمزامنة الوقت على ASA. تحقق من المعلومات ذات الصلة للمرجع.

- لطلب شهادة تستخدم طلب توقيع الشهادة (CSR)، فإنها تتطلب الوصول إلى مرجع مصدق داخلي أو جهة خارجية موثوق بها. تشمل أمثلة بائعي CA التابعين لجهة خارجية، على سبيل المثال لا الحصر، Entrust و Geotrust و GoDaddy و Thawte و VeriSign.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- ASAv 9.18.1

- لإنشاء PKCS12، يتم إستخدام OpenSSL.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

نوع الشهادات التي تحتوي عليها عناوين هذا المستند هي شهادات موقعة ذاتيا أو شهادات موقعة من مرجع تصديق خارجي أو مرجع تصديق داخلي في برنامج جهاز الأمان القابل للتكيف من Cisco المدار بواجهة سطر الأوامر (CLI).

تثبيت الشهادة

تسجيل الشهادة الموقع ذاتيا

1. (إختياري) قم بإنشاء زوج مفاتيح مسمى بحجم مفتاح محدد.
ملاحظة: بشكل افتراضي، يتم إستخدام مفتاح RSA باسم Default-RSA-Key وحجم 2048؛ ومع ذلك، يوصى باستخدام اسم فريد لكل شهادة حتى لا تستخدم نفس زوج مفاتيح الخاص/العام.

ASAv(config)# crypto key generate rsa label SELF-SIGNED-KEYPAIR modulus 2048

INFO: The name for the keys will be: SELF-SIGNED-KEYPAIR

Keypair generation process begin. Please wait...

يمكن رؤية زوج المفاتيح الذي تم إنشاؤه باستخدام الأمر show crypto key mypubkey rsa.

ASAv# show crypto key mypubkey rsa

(...)

Key pair was generated at: 14:52:49 CEDT Jul 15 2022

Key name: SELF-SIGNED-KEYPAIR

Usage: General Purpose Key

Key Size (bits): 2048

Storage: config

Key Data:

30820122 300d0609 2a864886 f70d0101 01050003 82010f00 3082010a 02820101

...

59dcd7d7 c3ee77f5 bbd0988d 515e390e b8d95177 dfaf6b94 a9df474b 1ec3b4a4

af020301 0001

1. إنشاء نقطة ثقة باسم محدد. تكوين الذات لنوع التسجيل.
ASAv(config)# crypto ca trustpoint SELF-SIGNED

ASAv(config-ca-trustpoint)# enrollment self

2. قم بتكوين اسم المجال المؤهل بالكامل (FQDN) واسم الموضوع.
تحذير: يجب أن تطابق معلمة FQDN FQDN أو عنوان IP الخاص بواجهة ASA التي يتم إستخدام الشهادة لها. تقوم هذه المعلمة بتعيين اسم الموضوع البديل (SAN) للشهادة.

ASAv(config-ca-trustpoint)# fqdn asavpn.example.com

ASAv(config-ca-trustpoint)# subject-name CN=asavpn.example.com,O=Example Inc,C=US,St=California,L=San Jose

3. (إختياري) قم بتكوين اسم زوج المفاتيح الذي تم إنشاؤه في الخطوة 1. غير مطلوب في حالة إستخدام زوج المفاتيح الافتراضي.
ASAv(config-ca-trustpoint)# keypair SELF-SIGNED-KEYPAIR

ASAv(config-ca-trustpoint)# exit

4. قم بتسجيل TrustPoint وإنشاء الشهادة.
ASAv(config)# crypto ca enroll SELF-SIGNED

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% The fully-qualified domain name in the certificate will be: asa.example.com

% Include the device serial number in the subject name? [yes/no]: no

Generate Self-Signed Certificate? [yes/no]: yes

ASAv(config)# exit

5. وبمجرد اكتمالها، يمكن رؤية الشهادة الموقعة ذاتيا الجديدة باستخدام الأمر show crypto ca certificates <truspoint name>.
ASAv# show crypto ca certificates SELF-SIGNED

Certificate

Status: Available

Certificate Serial Number: 62d16084

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Subject Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Validity Date:

start date: 15:00:58 CEDT Jul 15 2022

end date: 15:00:58 CEDT Jul 12 2032

Storage: config

Associated Trustpoints: SELF-SIGNED

التسجيل بواسطة طلب توقيع الشهادة (CSR)

1. (إختياري) قم بإنشاء زوج مفاتيح مسمى بحجم مفتاح محدد.
ملاحظة: بشكل افتراضي، يتم إستخدام مفتاح RSA باسم Default-RSA-Key وحجم 2048؛ ومع ذلك، يوصى باستخدام اسم فريد لكل شهادة حتى لا تستخدم نفس زوج مفاتيح الخاص/العام.

ASAv(config)# crypto key generate rsa label CA-SIGNED-KEYPAIR modulus 2048

INFO: The name for the keys will be: CA-SIGNED-KEYPAIR

Keypair generation process begin. Please wait...

يمكن رؤية زوج المفاتيح الذي تم إنشاؤه باستخدام الأمر show crypto key mypubkey rsa.

ASAv# show crypto key mypubkey rsa

(...)

Key pair was generated at: 14:52:49 CEDT Jul 15 2022

Key name: CA-SIGNED-KEYPAIR

Usage: General Purpose Key

Key Size (bits): 2048

Storage: config

Key Data:

30820122 300d0609 2a864886 f70d0101 01050003 82010f00 3082010a 02820101

...

59dcd7d7 c3ee77f5 bbd0988d 515e390e b8d95177 dfaf6b94 a9df474b 1ec3b4a4

af020301 0001

1. إنشاء نقطة ثقة باسم محدد. تكوين الوحدة الطرفية لنوع التسجيل.
ASAv(config)# crypto ca trustpoint CA-SIGNED

ASAv(config-ca-trustpoint)# enrollment terminal

2. قم بتكوين اسم المجال المؤهل بالكامل واسم الموضوع. يجب أن تتطابق معلمات FQDN و CN الموضوع مع FQDN أو عنوان IP الخاص بالخدمة التي يتم إستخدام الشهادة لها.
ASAv(config-ca-trustpoint)# fqdn asavpn.example.com

ASAv(config-ca-trustpoint)# subject-name CN=asavpn.example.com,O=Example Inc,C=US,St=California,L=San Jose

3. (إختياري) قم بتكوين اسم زوج المفاتيح الذي تم إنشاؤه في الخطوة 1.
ASAv(config-ca-trustpoint)# keypair CA-SIGNED-KEYPAIR

4. (إختياري) قم بتكوين أسلوب التحقق من إبطال الشهادة - باستخدام قائمة إبطال الشهادة (CRL) أو بروتوكول حالة الشهادة عبر الإنترنت (OCSP). بشكل افتراضي، يتم تعطيل التحقق من إبطال الشهادة.
ASAv(config-ca-trustpoint)# revocation-check ocsp

5. (إختياري) مصادقة TrustPoint وتثبيت شهادة CA التي ستوقع شهادة الهوية كموثوق بها. في حالة عدم التثبيت في هذه الخطوة، يمكن تثبيت شهادة المرجع المصدق لاحقا مع شهادة الهوية.
ASAv(config)# crypto ca authenticate CA-SIGNED

Enter the base 64 encoded CA certificate.

End with the word "quit" on a line by itself

ASAv(config)# crypto ca authenticate CA-SIGNED

Enter the base 64 encoded CA certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDXDCCAkSgAwIBAgIIDM/QY/h29+kwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

YS5leGFtcGxlLmNvbTAeFw0xNTAyMDYxNDEwMDBaFw0zMDAyMDYxNDEwMDBaMEUx

CzAJBgNVBAYTAlBMMQ8wDQYDVQQKEwZ3dy12cG4xDDAKBgNVBAsTA2xhYjEXMBUG

A1UEAxMOY2EuZXhhbXBsZS5jb20wggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEK

AoIBAQDI6pth5KFFTB29LynOg9/CTiOGYa+WFTcZXSLHZA6WTUzLYM19IbSFHWa6

gTeBnHqToLRnQoB51QlxEA45ArL2G98aew8BMD08GXkxWayforwLA3U9WZVTZsVN

4noWaXH1boGGD7+5vk0esJfL2B7pEhGodLh7Gki1T4KoqL/lDM9LqkzOctZkCT7f

SkXvFik1Z1cZEGn6b2umnIqaVZ81ewIuTHOX48ls3uxTPH8+B5QG0+d1waOsbCWk

oK5sEPpHZ3IQuVxGiirp/zmomzxl4G/tel6eyMOpjpnVtDYjQ9HNkQdQT5LKwRsX

Oj9xKnYCbPfg3p2FdH7wJh1lK3prAgMBAAGjUDBOMAwGA1UdEwQFMAMBAf8wHQYD

VR0OBBYEFE55kZsbra9b9tLFV52U47em9uXaMB8GA1UdIwQYMBaAFE55kZsbra9b

9tLFV52U47em9uXaMA0GCSqGSIb3DQEBCwUAA4IBAQArsXlFwK3jlNBwOsYh5mqT

cGqeyDMRhs3Rs/wD25M2wkAF4AYZHgN9gK9VCK+ModKMQZy4X/uhj65NDU7oFf6f

z9kqaRijsx153jV/YLk8E9oAIatnA/fQfX6V+h74yqucfF1js3d1FjyV14odRPwM

0jRyjalH56BFlackNc7KRddtVxYB9sfEbFhN8odlBvnUedxGAJFHqxEQKmBE+h4w

gW8YnHOvM08svyTXSLlJf0UCdmAY+lG0gqhUlSlkFBtLRt6Z2uCot00NoMHI0hh5

dcVcovOi/PAxnrAlJ+Ng2jrWFN3MXWZO4S3CHYMGkWqHkaHChlqDOx9badgfsyzz

-----END CERTIFICATE-----

quit

INFO: Certificate has the following attributes:

Fingerprint: e9ad165c 2673424c 6e7e0c5f b30b4a02

Do you accept this certificate? [yes/no]: yes

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

Trustpoint CA certificate accepted.

% Certificate successfully imported

6. قم بتسجيل الشهادة وإنشاء CSR يمكن نسخه وإرساله إلى مرجع مصدق للتوقيع. يتضمن CSR المفتاح العام من زوج المفاتيح المستخدم من قبل TrustPoint. يمكن إستخدام الشهادة الموقعة فقط من قبل الأجهزة التي تحتوي على زوج المفاتيح هذا.
ملاحظة: يمكن ل CA تغيير معلمات FQDN و Subject Name المحددة في TrustPoint عند توقيع CSR وإنشاء شهادة هوية موقعة.

ASAv(config)# crypto ca enroll CA-SIGNED

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% Start certificate enrollment ..

% The subject name in the certificate will be: CN=asavpn.example.com,O=Example Inc,C=US,St=California,L=San Jose

% The fully-qualified domain name in the certificate will be: asavpn.example.com

% Include the device serial number in the subject name? [yes/no]: no

Display Certificate Request to terminal? [yes/no]: yes

Certificate Request follows:

-----BEGIN CERTIFICATE REQUEST-----

MIIDHzCCAgcCAQAwgYsxGzAZBgNVBAMMEmFzYXZwbi5leGFtcGxlLmNvbTEUMBIG

A1UECgwLRXhhbXBsZSBJbmMxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9y

bmlhMREwDwYDVQQHDAhTYW4gSm9zZTEhMB8GCSqGSIb3DQEJAgwSYXNhdnBuLmV4

YW1wbGUuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA5cvZVr1j

Me8Mz4T3vgT1Z8DAAR0avs/TBdYiqGdjyiV/3K92IIT/0r8cuAUe5rR4sjTvaXYC

SycSbwKc4kZbr3x120ss8Itd5g4kBdrUSCprl+VMiTphQgBTAqRPk0vFX4rC8k/T

0PFDE+2gjT1wMn9reb92jYrolGK4MWZdCzqowLPjEj5cCwu8Pv5h4hqTpudms+v4

g3R1OODmeyv4uEMYLS/noPxZXZ8YiQMiG2EP2Bg0KOT3Fzx0mVuekonQtRhiZt+c

zyyfSRoqyBSakEZBwABod8q1Eg5J/pH130JlitOUJEyIlFoVHqv3jL7zfA9ilInu

NaHkir062VQNXwIDAQABoE4wDwYJKoZIhvcNAQkHMQITADA7BgkqhkiG9w0BCQ4x

LjAsMAsGA1UdDwQEAwIFoDAdBgNVHREEFjAUghJhc2F2cG4uZXhhbXBsZS5jb20w

DQYJKoZIhvcNAQELBQADggEBAM3Q3zvp9G3MWP7R4wkpnBOH2CNUmPENIhHNjQjH

Yh08EOvWyoo9FaLfHKVDLvFXh0vn5osXBmPLuVps6Ta4sBRUNicRoAmmA0pDWL9z

Duu8BQnBGuN08T/H3ydjaNoPJ/f6EZ8gXY29NXEKb/+A2Tt0VVUTsYreGS+84Gqo

ixFOtW8R50IXg+afAVOAh81xVUFOvuAi9DsiuvufMb4wdngQSOel/B9Zgp/BfGMl

l0ApgejACoJAGmyrn9Tj6Z/6/lbpKBKpf4VE5UXdj7WLAjw5JF/X2NrH3/cQsczi

G2Yg2dr3WpkTIY2W/kVohTiohVRkgXOMCecUaMlYxJyLTRQ=

-----END CERTIFICATE REQUEST-----

Redisplay enrollment request? [yes/no]: no

7. إستيراد شهادة الهوية. بمجرد توقيع CSR، يتم توفير شهادة هوية.
ASAv(config)# crypto ca import CA-SIGNED certificate

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% The fully-qualified domain name in the certificate will be: asavpn.example.com

Enter the base 64 encoded certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDoTCCAomgAwIBAgIIKbLY8Qt8N5gwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

(...)

kzAihRuFqmYYUeQP2Byp/S5fNqUcyZfAczIHt8BcPmVO9l6iSF/ULGlzXMSOUX6N

d/LHXwrcTpc1zU+7qx3TpVDZbJlwwF+BWTBlxgM0BosJx65u/n75KnbBhGUE75jV

HX2eRzuhnnSVExCoeyed7DLiezD8

-----END CERTIFICATE-----

quit

INFO: Certificate successfully imported

8. تحقق من سلسلة الشهادات. وبمجرد اكتمالها، يمكن الاطلاع على شهادة الهوية الجديدة وشهادة المرجع المصدق باستخدام الأمر show crypto ca certificates <trustpoint name>.
ASAv# show crypto ca certificates CA-SIGNED

CA Certificate

Status: Available

Certificate Serial Number: 0ccfd063f876f7e9

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Validity Date:

start date: 15:10:00 CEST Feb 6 2015

end date: 15:10:00 CEST Feb 6 2030

Storage: config

Associated Trustpoints: CA-SIGNED

Certificate

Status: Available

Certificate Serial Number: 29b2d8f10b7c3798

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

unstructuredName=asavpn.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asavpn.example.com

Validity Date:

start date: 15:33:00 CEDT Jul 15 2022

end date: 15:33:00 CEDT Jul 15 2023

Storage: config

Associated Trustpoints: CA-SIGNED

تسجيل PKCS12

التسجيل في ملف PKCS12 الذي يحتوي على زوج مفاتيح، شهادة هوية، وسلسلة شهادات CA (شهادات) إختيارية، مستلمة من CA الخاص بك.

1. إنشاء نقطة ثقة باسم محدد.
ASAv(config)# crypto ca trustpoint Trustpoint-PKCS12

ASAv(config-ca-trustpoint)# exit

ملاحظة: يسمى زوج المفاتيح المستورد باسم TrustPoint.

2. (إختياري) قم بتكوين أسلوب التحقق من إبطال الشهادة - باستخدام قائمة إبطال الشهادة (CRL) أو بروتوكول حالة الشهادة عبر الإنترنت (OCSP). بشكل افتراضي، يتم تعطيل التحقق من إبطال الشهادة.
ASAv(config-ca-trustpoint)# revocation-check ocsp

3. إستيراد الشهادة من ملف PKCS12.
ملاحظة: يحتاج ملف PKCS12 أن يكون base64 مشفر. إذا كانت الحروف المطبوعة ترى عند فتح الملف في محرر النص، فإنه يتم ترميزه base64. لتحويل ملف ثنائي إلى Base64 مرمز نموذج OpenSSL يمكن إستخدامه.

openssl enc -base64 -in asavpnpkcs12chain.example.com.pfx -out asavpnpkcs12chain.example.com.pfx.txt
:
crypto ca import trustpoint pkcs12 passphrase [ nointeractive ]

ASAv(config)# crypto ca import TP-PKCS12 pkcs12 cisco123

Enter the base 64 encoded pkcs12.

End with the word "quit" on a line by itself:

MIIN4gIBAzCCDawGCSqGSIb3DQEHAaCCDZ0Egg2ZMIINlTCCCBcGCSqGSIb3DQEH

BqCCCAgwgggEAgEAMIIH/QYJKoZIhvcNAQcBMBwGCiqGSIb3DQEMAQMwDgQIiK0c

wqE3Tm0CAggAgIIH0NjxmJBuoPRuYl1VxTiawHzsL8kIl03lOj7tcWmECBwzsKKq

(...)

PXowMwYJKoZIhvcNAQkUMSYeJABhAHMAYQB2AHAAbgAuAGUAeABhAG0AcABsAGUA

LgBjAG8AbTAtMCEwCQYFKw4DAhoFAAQUPXZZtBeqlh98wQljHW7J/hqoKcwECD05

dnxCNJx6

quit

Trustpoint CA certificate accepted.

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

INFO: Import PKCS12 operation completed successfully.

4. تحقق من الشهادة (الشهادات) المثبتة.
ASAv# show crypto ca certificates TP-PKCS12

Certificate

Status: Available

Certificate Serial Number: 2b368f75e1770fd0

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

unstructuredName=asavpn.example.com

CN=asavpnpkcs12chain.example.com

O=Example Inc

L=San Jose

ST=California

C=US

Validity Date:

start date: 15:33:00 CEDT Jul 15 2022

end date: 15:33:00 CEDT Jul 15 2023

Storage: config

Associated Trustpoints: TP-PKCS12

CA Certificate

Status: Available

Certificate Serial Number: 0ccfd063f876f7e9

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Validity Date:

start date: 15:10:00 CEST Feb 6 2015

end date: 15:10:00 CEST Feb 6 2030

Storage: config

Associated Trustpoints: TP-PKCS12

في المثال السابق، كان PKCS12 يحتوي على الهوية وشهادة CA - القسمين - الشهادة وشهادة CA. وإلا، فإن الشهادة فقط موجودة.

5. (إختياري) مصادقة TrustPoint.
إذا لم يكن PKCS12 يحتوي على شهادة CA، وتم الحصول على شهادة CA بشكل منفصل بتنسيق PEM، يمكن تثبيتها يدويا.

ASAv(config)# crypto ca authenticate TP-PKCS12

Enter the base 64 encoded CA certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDXDCCAkSgAwIBAgIIDM/QY/h29+kwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

(...)

gW8YnHOvM08svyTXSLlJf0UCdmAY+lG0gqhUlSlkFBtLRt6Z2uCot00NoMHI0hh5

dcVcovOi/PAxnrAlJ+Ng2jrWFN3MXWZO4S3CHYMGkWqHkaHChlqDOx9badgfsyzz

-----END CERTIFICATE-----

quit

INFO: Certificate has the following attributes:

Fingerprint: e9ad165c 2673424c 6e7e0c5f b30b4a02

Do you accept this certificate? [yes/no]: yes

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

Trustpoint CA certificate accepted.

% Certificate successfully imported

تجديد الشهادة

تجديد الشهادة الموقعة ذاتيا

1. تحقق من تاريخ انتهاء صلاحية الشهادة الحالية.
# show crypto ca certificates SELF-SIGNED

Certificate

Status: Available

Certificate Serial Number: 62d16084

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Subject Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Validity Date:

start date: 15:00:58 CEDT Jul 15 2022

end date: 15:00:58 CEDT Jul 12 2032

Storage: config

Associated Trustpoints: SELF-SIGNED

2. إعادة إنشاء الشهادة.
ASAv# conf t

ASAv(config)# crypto ca enroll SELF-SIGNED

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

WARNING: Trustpoint TP has already enrolled and has

a device cert issued to it.

If you successfully re-enroll this trustpoint,

the current certificate will be replaced.

Do you want to continue with re-enrollment? [yes/no]: yes

% The fully-qualified domain name in the certificate will be: asa.example.com

% Include the device serial number in the subject name? [yes/no]: no

Generate Self-Signed Certificate? [yes/no]: yes

ASAv(config)# exit

3. تحقق من الشهادة الجديدة.
ASAv# show crypto ca certificates SELF-SIGNED

Certificate

Status: Available

Certificate Serial Number: 62d16085

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Subject Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Validity Date:

start date: 15:09:09 CEDT Jul 20 2022

end date: 15:09:09 CEDT Jul 17 2032

Storage: config

Associated Trustpoints: SELF-SIGNED

تجديد الشهادة المسجلة مع طلب توقيع الشهادة (CSR)

ملاحظة: إذا كان أي من عناصر الشهادة الجديدة (subject/fqdn، keypair) تحتاج إلى التغيير للشهادة الجديدة، فقم بإنشاء شهادة جديدة. راجع التسجيل باستخدام قسم طلب توقيع الشهادة (CSR). الإجراء التالي يقوم بتحديث تاريخ انتهاء صلاحية الشهادة.

1. تحقق من تاريخ انتهاء صلاحية الشهادة الحالية.
ASAv# show crypto ca certificates CA-SIGNED

Certificate

Status: Available

Certificate Serial Number: 29b2d8f10b7c3798

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

unstructuredName=asavpn.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asavpn.example.com

Validity Date:

start date: 15:33:00 CEDT Jul 15 2022

end date: 15:33:00 CEDT Jul 15 2023

Storage: config

Associated Trustpoints: CA-SIGNED

Certificate

Subject Name:

Status: Pending terminal enrollment

Key Usage: General Purpose

Fingerprint: 790aa617 c30c6894 0bdc0327 0d60b032

Associated Trustpoint: CA-SIGNED

2. تسجيل الشهادة. قم بإنشاء CSR الذي يمكن نسخه وإرساله إلى CA للتوقيع. يتضمن CSR المفتاح العام من زوج المفاتيح المستخدم من قبل TrustPoint - يمكن إستخدام الشهادة الموقعة فقط من قبل الأجهزة التي تحتوي على زوج المفاتيح هذا.
ملاحظة: يمكن ل CA تغيير معلمات FQDN و Subject Name المحددة في TrustPoint عند توقيع CSR وإنشاء شهادة هوية موقعة.

ملاحظة: بالنسبة إلى نفس تكوين TrustPoint، دون تغيير تكوين الموضوع/fqdn وزواج المفاتيح، تمنح عمليات التسجيل اللاحقة نفس نسبة CSR كما هي الحال بالنسبة للإدخال الأولي.

ASAv# conf t

ASAv(config)# crypto ca enroll CA-SIGNED

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% Start certificate enrollment ..

% The subject name in the certificate will be: CN=asavpn.example.com,O=Example Inc,C=US,St=California,L=San Jose

% The fully-qualified domain name in the certificate will be: asavpn.example.com

% Include the device serial number in the subject name? [yes/no]: no

Display Certificate Request to terminal? [yes/no]: yes

Certificate Request follows:

-----BEGIN CERTIFICATE REQUEST-----

MIIDHzCCAgcCAQAwgYsxGzAZBgNVBAMMEmFzYXZwbi5leGFtcGxlLmNvbTEUMBIG

A1UECgwLRXhhbXBsZSBJbmMxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9y

bmlhMREwDwYDVQQHDAhTYW4gSm9zZTEhMB8GCSqGSIb3DQEJAgwSYXNhdnBuLmV4

YW1wbGUuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA5cvZVr1j

Me8Mz4T3vgT1Z8DAAR0avs/TBdYiqGdjyiV/3K92IIT/0r8cuAUe5rR4sjTvaXYC

SycSbwKc4kZbr3x120ss8Itd5g4kBdrUSCprl+VMiTphQgBTAqRPk0vFX4rC8k/T

0PFDE+2gjT1wMn9reb92jYrolGK4MWZdCzqowLPjEj5cCwu8Pv5h4hqTpudms+v4

g3R1OODmeyv4uEMYLS/noPxZXZ8YiQMiG2EP2Bg0KOT3Fzx0mVuekonQtRhiZt+c

zyyfSRoqyBSakEZBwABod8q1Eg5J/pH130JlitOUJEyIlFoVHqv3jL7zfA9ilInu

NaHkir062VQNXwIDAQABoE4wDwYJKoZIhvcNAQkHMQITADA7BgkqhkiG9w0BCQ4x

LjAsMAsGA1UdDwQEAwIFoDAdBgNVHREEFjAUghJhc2F2cG4uZXhhbXBsZS5jb20w

DQYJKoZIhvcNAQELBQADggEBAM3Q3zvp9G3MWP7R4wkpnBOH2CNUmPENIhHNjQjH

Yh08EOvWyoo9FaLfHKVDLvFXh0vn5osXBmPLuVps6Ta4sBRUNicRoAmmA0pDWL9z

Duu8BQnBGuN08T/H3ydjaNoPJ/f6EZ8gXY29NXEKb/+A2Tt0VVUTsYreGS+84Gqo

ixFOtW8R50IXg+afAVOAh81xVUFOvuAi9DsiuvufMb4wdngQSOel/B9Zgp/BfGMl

l0ApgejACoJAGmyrn9Tj6Z/6/lbpKBKpf4VE5UXdj7WLAjw5JF/X2NrH3/cQsczi

G2Yg2dr3WpkTIY2W/kVohTiohVRkgXOMCecUaMlYxJyLTRQ=

-----END CERTIFICATE REQUEST-----

Redisplay enrollment request? [yes/no]: no

3. إستيراد شهادة الهوية. بمجرد توقيع CSR، يتم توفير شهادة هوية.
ASAv(config)# crypto ca import CA-SIGNED certificate

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% The fully-qualified domain name in the certificate will be: asavpn.example.com

Enter the base 64 encoded certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDgTCCAmmgAwIBAgIIMA+aIxCtNtMwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

YS5leGFtcGxlLmNvbTAeFw0yMjA3MjAxNDA5MDBaFw0yMzA3MjAxNDA5MDBaMIGL

MRswGQYDVQQDDBJhc2F2cG4uZXhhbXBsZS5jb20xFDASBgNVBAoMC0V4YW1wbGUg

SW5jMQswCQYDVQQGEwJVUzETMBEGA1UECAwKQ2FsaWZvcm5pYTERMA8GA1UEBwwI

U2FuIEpvc2UxITAfBgkqhkiG9w0BCQIMEmFzYXZwbi5leGFtcGxlLmNvbTCCASIw

DQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBAOXL2Va9YzHvDM+E974E9WfAwAEd

Gr7P0wXWIqhnY8olf9yvdiCE/9K/HLgFHua0eLI072l2AksnEm8CnOJGW698ddtL

LPCLXeYOJAXa1Egqa5flTIk6YUIAUwKkT5NLxV+KwvJP09DxQxPtoI09cDJ/a3m/

do2K6JRiuDFmXQs6qMCz4xI+XAsLvD7+YeIak6bnZrPr+IN0dTjg5nsr+LhDGC0v

56D8WV2fGIkDIhthD9gYNCjk9xc8dJlbnpKJ0LUYYmbfnM8sn0kaKsgUmpBGQcAA

aHfKtRIOSf6R9d9CZYrTlCRMiJRaFR6r94y+83wPYpSJ7jWh5Iq9OtlUDV8CAwEA

AaMuMCwwCwYDVR0PBAQDAgWgMB0GA1UdEQQWMBSCEmFzYXZwbi5leGFtcGxlLmNv

bTANBgkqhkiG9w0BAQsFAAOCAQEAfQUchY4UjhjkySMJAh7NT3TT5JJ4NzqW8qHa

wNq+YyHR+sQ6G3vn+6cYCU87tqWlY3fXC27TwweREwMbq8NsJrr80hsChYby8kwE

LnTkrN7dJBl7u5OVQ3DRjfmFrJ9LEUaYZx1HYvcS1kAeEeVB4VJwVzeujWepcmEM

p7cB6veTcF9rulDVRImd0KYEOx+HYav2INT2udc0G1yDwml/mqdf0/ON2SpBBpnE

gtiKshtsST/NAw25WjkrDIfN8uR2z5xpzxnEDUBoHOipGlgb1I6G1ARXWO+LwfBl

n1QD5b/RdQOUbLCpfKNPdE/9wNnoXGDlJ7qfZxrO4T7ld2Idug==

-----END CERTIFICATE-----

quit

INFO: Certificate successfully imported

4. تحقق من تاريخ انتهاء صلاحية الشهادة الجديدة.
ASAv# show crypto ca certificates CA-SIGNED

Certificate

Status: Available

Certificate Serial Number: 300f9a2310ad36d3

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

unstructuredName=asavpn.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asavpn.example.com

Validity Date:

start date: 16:09:00 CEDT Jul 20 2022

end date: 16:09:00 CEDT Jul 20 2023

Storage: config

Associated Trustpoints: CA-SIGNED

تجديد PKCS12

لا يمكن تجديد شهادة في TrustPoint مسجلة باستخدام ملف PKCS12. لتثبيت شهادة جديدة، يجب إنشاء TrustPoint جديدة.

1. إنشاء نقطة ثقة باسم محدد.
ASAv(config)# crypto ca trustpoint Trustpoint-PKCS12-2022

ASAv(config-ca-trustpoint)# exit

2. (إختياري) قم بتكوين أسلوب التحقق من إبطال الشهادة - باستخدام قائمة إبطال الشهادة (CRL) أو بروتوكول حالة الشهادة عبر الإنترنت (OCSP). بشكل افتراضي، يتم تعطيل التحقق من إبطال الشهادة.
ASAv(config-ca-trustpoint)# revocation-check ocsp

3. إستيراد الشهادة الجديدة من ملف PKCS12.
ملاحظة: يحتاج ملف PKCS12 أن يكون base64 مشفر. إذا كانت الحروف المطبوعة ترى عند فتح الملف في محرر النص، فإنه يتم ترميزه base64. لتحويل ملف ثنائي إلى نموذج مرمز base64، يمكن إستخدام OpenSSL.

openssl enc -base64 -in asavpnpkcs12chain.example.com.pfx -out asavpnpkcs12chain.example.com.pfx.txt

ASAv(config)# crypto ca import TP-PKCS12-2022 pkcs12 cisco123

Enter the base 64 encoded pkcs12.

End with the word "quit" on a line by itself:

MIIN4gIBAzCCDawGCSqGSIb3DQEHAaCCDZ0Egg2ZMIINlTCCCBcGCSqGSIb3DQEH

BqCCCAgwgggEAgEAMIIH/QYJKoZIhvcNAQcBMBwGCiqGSIb3DQEMAQMwDgQIiK0c

wqE3Tm0CAggAgIIH0NjxmJBuoPRuYl1VxTiawHzsL8kIl03lOj7tcWmECBwzsKKq

(...)

PXowMwYJKoZIhvcNAQkUMSYeJABhAHMAYQB2AHAAbgAuAGUAeABhAG0AcABsAGUA

LgBjAG8AbTAtMCEwCQYFKw4DAhoFAAQUPXZZtBeqlh98wQljHW7J/hqoKcwECD05

dnxCNJx6

quit

Trustpoint CA certificate accepted.

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

INFO: Import PKCS12 operation completed successfully.

ملاحظة: إذا كان ملف PKCS12 الجديد يحتوي على شهادة هوية بنفس زوج المفاتيح الذي تم إستخدامه مع الشهادة القديمة، فإن TrustPoint الجديدة تشير إلى اسم زوج مفاتيح قديم.

مثال:

ASAv(config)# crypto ca import TP-PKCS12-2022 pkcs12 cisco123

Enter the base 64 encoded pkcs12. End with the word "quit" on a line by itself:

MIIN4gIBAzCCDawGCSqGSIb3DQEHAaCCDZ0Egg2ZMIINlTCCCBcGCSqGSIb3DQEH

...

dnxCNJx6

quit

WARNING: Identical public key already exists as TP-PKCS12

ASAv(config)# show run crypto ca trustpoint TP-PKCS12-2022

crypto ca trustpoint TP-PKCS12-2022

keypair TP-PKCS12

no validation-usage crl configure

4. تحقق من الشهادة (الشهادات) المثبتة.
ASAv# show crypto ca certificates TP-PKCS12-2022

Certificate

Status: Available

Certificate Serial Number: 2b368f75e1770fd0

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name: CN=ca.example.com OU=lab O=ww-vpn C=PL

Subject Name: unstructuredName=asavpn.example.com CN=asavpnpkcs12chain.example.com O=Example Inc L=San Jose ST=California C=US

Validity Date:

start date: 15:33:00 CEDT Jul 15 2022

end date: 15:33:00 CEDT Jul 15 2023

Storage: config

Associated Trustpoints: TP-PKCS12-2022

CA Certificate

Status: Available

Certificate Serial Number: 0ccfd063f876f7e9

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name: CN=ca.example.com OU=lab O=ww-vpn C=PL

Subject Name: CN=ca.example.com OU=lab O=ww-vpn C=PL

Validity Date:

start date: 15:10:00 CEST Feb 6 2015

end date: 15:10:00 CEST Feb 6 2030

Storage: config

Associated Trustpoints: TP-PKCS12-2022

في المثال السابق، كان PKCS12 يحتوي على شهادة الهوية وشهادة CA، لذلك، يظهر إدخالان بعد الاستيراد والشهادة وشهادة CA. وإلا، يكون إدخال الشهادة فقط موجودا.

5. (إختياري) مصادقة TrustPoint.
إذا لم يكن PKCS12 يحتوي على شهادة CA، وتم الحصول على شهادة CA بشكل منفصل بتنسيق PEM، يمكن تثبيتها يدويا.

ASAv(config)# crypto ca authenticate TP-PKCS12-2022

Enter the base 64 encoded CA certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDXDCCAkSgAwIBAgIIDM/QY/h29+kwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

(...)

gW8YnHOvM08svyTXSLlJf0UCdmAY+lG0gqhUlSlkFBtLRt6Z2uCot00NoMHI0hh5

dcVcovOi/PAxnrAlJ+Ng2jrWFN3MXWZO4S3CHYMGkWqHkaHChlqDOx9badgfsyzz

-----END CERTIFICATE-----

quit

INFO: Certificate has the following attributes:

Fingerprint: e9ad165c 2673424c 6e7e0c5f b30b4a02

Do you accept this certificate? [yes/no]: yes

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

Trustpoint CA certificate accepted.

% Certificate successfully imported

6. قم بإعادة تكوين ASA لاستخدام نقطة الثقة الجديدة بدلا من النقطة القديمة.

مثال:

ASAv# show running-config ssl trust-point ssl trust-point TP-PKCS12 ASAv# conf t ASAv(config)#ssl trust-point TP-PKCS12-2022 ASAv(config)#exit

ملاحظة: يمكن إستخدام TrustPoint في عناصر تكوين مختلفة. تحقق من التكوين الخاص بك حيث يتم إستخدام TrustPoint القديم.

معلومات ذات صلة

كيفية تكوين إعدادات الوقت على ASA.

تحقق من هذا المرجع للتعرف على الخطوات المطلوبة لإعداد الوقت والتاريخ بشكل صحيح على ASA. CLI Book 1: دليل تكوين واجهة سطر الأوامر للعمليات العامة Cisco Secure Firewall ASA Series General Operations، 9.18