Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

CSR erstellen

Zertifikatskette der Zertifizierungsstelle importieren

Importieren des signierten Identitätszertifikats für den Server

Chassis-Manager für die Verwendung des neuen Zertifikats konfigurieren

Überprüfung

Fehlerbehebung

Zugehörige Informationen

Einleitung

In diesem Dokument wird beschrieben, wie Sie einen CSR erstellen und das Identitätszertifikat zur Verwendung mit dem Chassis Manager für FXOS auf den Geräten der Serien FP 4100/9300 installieren.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- Konfigurieren von FirePOWER eXtensible Operating System (FXOS) über die Befehlszeile

- Zertifikatsignierungsanforderung (CSR) verwenden

- PKI-Konzepte (Private Key Infrastructure)

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- Firepower (FP) der Serien 4100 und 9300 - Hardware

- FXOS-Versionen 2.10

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Nach der Erstkonfiguration wird ein selbstsigniertes SSL-Zertifikat für die Verwendung mit der Chassis Manager-Webanwendung generiert. Da es sich um ein selbstsigniertes Zertifikat handelt, wird es von Clientbrowsern nicht automatisch als vertrauenswürdig eingestuft. Wenn ein neuer Client-Browser zum ersten Mal auf die Chassis Manager-Webschnittstelle zugreift, löst der Browser eine SSL-Warnung aus, die der Ihrer Verbindung ähnelt und nicht privat ist. Er fordert den Benutzer auf, das Zertifikat zu akzeptieren, bevor Sie auf den Chassis Manager zugreifen. Auf diese Weise kann ein von einer vertrauenswürdigen Zertifizierungsstelle signiertes Zertifikat installiert werden, das einem Clientbrowser die Vertrauenswürdigkeit der Verbindung ermöglicht und die Webschnittstelle ohne Warnungen aufruft.

Konfigurieren

CSR erstellen

Führen Sie die folgenden Schritte aus, um ein Zertifikat zu erhalten, das die IP-Adresse oder den vollqualifizierten Domänennamen (FQDN) des Geräts enthält (anhand derer der Client-Browser den Server richtig identifizieren kann):

- Erstellen Sie einen Keyring, und wählen Sie die Modulgröße des privaten Schlüssels aus.

Hinweis: Der Keyring-Name kann beliebig eingegeben werden. In diesen Beispielen wird firepower_cert verwendet.

In diesem Beispiel wird ein Keyring mit einer Schlüssellänge von 1024 Bit erstellt:

Firepower-chassis# scope security

Firepower-chassis /security # create keyring kr220

Firepower-chassis /security/keyring* # set modulus mod1024

Firepower-chassis /security/keyring* # commit-buffer

- Konfigurieren der CSR-Felder Die CSR-Anfrage kann mit einfachen Optionen wie einem Betreff erstellt werden. Daraufhin wird auch ein Kennwort für die Zertifikatsanforderung eingegeben.

In diesem Beispiel wird eine Zertifikatsanforderung mit einer IPv4-Adresse für einen Keyring erstellt und angezeigt, mit grundlegenden Optionen:

Firepower-chassis# scope security

Firepower-chassis /security # scope keyring kr220

Firepower-chassis /security/keyring # create certreq ip 192.168.200.123 subject-name sjc04

Certificate request password:

Confirm certificate request password:

Firepower-chassis /security/keyring* # commit-buffer

- Der CSR kann auch mit erweiterten Optionen generiert werden, mit denen Informationen wie Gebietsschema und Organisation in das Zertifikat eingebettet werden können.

Firepower-chassis# scope security

Firepower-chassis /security # scope keyring kr220

Firepower-chassis /security/keyring # create certreq

Firepower-chassis /security/keyring/certreq* # set "ip 192.168.200.123"

Firepower-chassis /security/keyring/certreq* #  set subject-name "sjc04"

Firepower-chassis /security/keyring/certreq* # set country "US"

Firepower-chassis /security/keyring/certreq* # set dns "bg1-samc-15A"

Firepower-chassis /security/keyring/certreq* # set email "test@cisco.com"

Firepower-chassis /security/keyring/certreq* # set locality "new york city"

Firepower-chassis /security/keyring/certreq* # set org-name "Cisco Systems"

Firepower-chassis /security/keyring/certreq* # set org-unit-name "Testing"

Firepower-chassis /security/keyring/certreq* # set state "new york"

Firepower-chassis /security/keyring/certreq* # commit-buffer

- Exportieren Sie den CSR, um ihn Ihrer Zertifizierungsstelle bereitzustellen. Kopieren Sie die Ausgabe, die mit beginnt (und enthält) -----BEGIN CERTIFICATE REQUEST----- endet mit (und enthält) -----END CERTIFICATE REQUEST-----.

Firepower-chassis /security/keyring/certreq # show certreq

Certificate request subject name: sjc04

Certificate request ip address: 192.168.200.123

Certificate request e-mail name: test@cisco.com

Certificate request country name: US

State, province or county (full name): New York

Locality name (eg, city): new york city

Organization name (eg, company): Cisco

Organization Unit name (eg, section): Testing

Request:

-----BEGIN CERTIFICATE REQUEST-----

MIIBfTCB5wIBADARMQ8wDQYDVQQDEwZzYW1jMDQwgZ8wDQYJKoZIhvcNAQEBBQAD

gY0AMIGJAoGBALpKn1t8qMZO4UGqILKFXQQc2c8b/vW2rnRF8OPhKbhghLA1YZ1F

JqcYEG5Yl1+vgohLBTd45s0GC8m4RTLJWHo4SwccAUXQ5Zngf45YtX1WsylwUWV4

0re/zgTk/WCd56RfOBvWR2Dtztu2pGA14sd761zLxt29K7R8mzj6CAUVAgMBAAGg

LTArBgkqhkiG9w0BCQ4xHjAcMBoGA1UdEQEB/wQQMA6CBnNhbWMwNIcECsEiXjAN

BgkqhkiG9w0BAQQFAAOBgQCsxN0qUHYGFoQw56RwQueLTNPnrndqUwuZHUO03Teg

nhsyu4satpyiPqVV9viKZ+spvc6x5PWIcTWgHhH8BimOb/0OKuG8kwfIGGsEDlAv

TTYvUP+BZ9OFiPbRIA718S+V8ndXr1HejiQGxlDNqoN+odCXPc5kjoXD0lZTL09H

BA==

-----END CERTIFICATE REQUEST-----

Zertifikatskette der Zertifizierungsstelle importieren

Hinweis: Alle Zertifikate müssen das Base64-Format aufweisen, damit sie in FXOS importiert werden können. Wenn das von der Zertifizierungsstelle empfangene Zertifikat oder die Kette ein anderes Format aufweist, müssen Sie es zuerst mit einem SSL-Tool wie OpenSSL konvertieren.

- Erstellen Sie einen neuen Vertrauenspunkt für die Zertifikatskette.

Hinweis: Der Name des Vertrauenspunkts kann eine beliebige Eingabe sein. In den Beispielen wird firepower_chain verwendet.

Firepower-chassis# scope security

Firepower-chassis /security # create trustpoint tPoint10

Firepower-chassis /security/trustpoint* # set certchain

Enter lines one at a time. Enter ENDOFBUF to finish. Press ^C to abort.

Trustpoint Certificate Chain:

> -----BEGIN CERTIFICATE-----

> MIIDMDCCApmgAwIBAgIBADANBgkqhkiG9w0BAQQFADB0MQswCQYDVQQGEwJVUzEL

> BxMMU2FuIEpvc2UsIENBMRUwEwYDVQQKEwxFeGFtcGxlIEluYy4xEzARBgNVBAsT

> ClRlc3QgR3JvdXAxGTAXBgNVBAMTEHRlc3QuZXhhbXBsZS5jb20xHzAdBgkqhkiG

> 9w0BCQEWEHVzZXJAZXhhbXBsZS5jb20wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ

> AoGBAMZw4nTepNIDhVzb0j7Z2Je4xAG56zmSHRMQeOGHemdh66u2/XAoLx7YCcYU

> ZgAMivyCsKgb/6CjQtsofvtrmC/eAehuK3/SINv7wd6Vv2pBt6ZpXgD4VBNKONDl

> GMbkPayVlQjbG4MD2dx2+H8EH3LMtdZrgKvPxPTE+bF5wZVNAgMBAAGgJTAjBgkq

> hkiG9w0BCQcxFhMUQSBjaGFsbGVuZ2UgcGFzc3dvcmQwDQYJKoZIhvcNAQEFBQAD

> gYEAG61CaJoJaVMhzCl903O6Mg51zq1zXcz75+VFj2I6rH9asckCld3mkOVx5gJU

> Ptt5CVQpNgNLdvbDPSsXretysOhqHmp9+CLv8FDuy1CDYfuaLtvlWvfhevskV0j6

> jtcEMyZ+f7+3yh421ido3nO4MIGeBgNVHSMEgZYwgZOAFLlNjtcEMyZ+f7+3yh42

> 1ido3nO4oXikdjB0MQswCQYDVQQGEwJVUzELMAkGA1UECBMCQ0ExFDASBgNVBAcT

> C1NhbnRhIENsYXJhMRswGQYDVQQKExJOdW92YSBTeXN0ZW1zIEluYy4xFDASBgNV

> BAsTC0VuZ2luZWVyaW5nMQ8wDQYDVQQDEwZ0ZXN0Q0GCAQAwDAYDVR0TBAUwAwEB

> /zANBgkqhkiG9w0BAQQFAAOBgQAhWaRwXNR6B4g6Lsnr+fptHv+WVhB5fKqGQqXc

> wR4pYiO4z42/j9Ijenh75tCKMhW51az8copP1EBmOcyuhf5C6vasrenn1ddkkYt4

> PR0vxGc40whuiozBolesmsmjBbedUCwQgdFDWhDIZJwK5+N3x/kfa2EHU6id1avt

> 4YL5Jg==

> -----END CERTIFICATE-----

> ENDOFBUF

Firepower-chassis /security/trustpoint* # commit-buffer

Hinweis: Für eine Zertifizierungsstelle, die Zwischenzertifikate verwendet, müssen das Stamm- und Zwischenzertifikat kombiniert werden. Fügen Sie in der Textdatei oben das Stammzertifikat ein, gefolgt von jedem Zwischenzertifikat in der Kette (das alle Flags BEGIN CERTIFICATE und END CERTIFICATE enthält). Fügen Sie dann die gesamte Datei vor die ENDOFBUF-Abgrenzung ein.

Importieren des signierten Identitätszertifikats für den Server

- Ordnen Sie den im vorherigen Schritt erstellten Vertrauenspunkt dem Keyring zu, der für den CSR erstellt wurde.

Firepower-chassis# scope security

Firepower-chassis /security # scope keyring kr220

Firepower-chassis /security/keyring # set trustpoint tPoint10

- Fügen Sie den Inhalt des von der Zertifizierungsstelle bereitgestellten Identitätszertifikats ein.

Firepower-chassis /security/keyring* # set cert

Enter lines one at a time. Enter ENDOFBUF to finish. Press ^C to abort.

Keyring certificate:

> -----BEGIN CERTIFICATE-----

> MIIB/zCCAWgCAQAwgZkxCzAJBgNVBAYTAlVTMQswCQYDVQQIEwJDQTEVMBMGA1UE

> BxMMU2FuIEpvc2UsIENBMRUwEwYDVQQKEwxFeGFtcGxlIEluYy4xEzARBgNVBAsT

> ClRlc3QgR3JvdXAxGTAXBgNVBAMTEHRlc3QuZXhhbXBsZS5jb20xHzAdBgkqhkiG

> 9w0BCQEWEHVzZXJAZXhhbXBsZS5jb20wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ

> AoGBAMZw4nTepNIDhVzb0j7Z2Je4xAG56zmSHRMQeOGHemdh66u2/XAoLx7YCcYU

> ZgAMivyCsKgb/6CjQtsofvtrmC/eAehuK3/SINv7wd6Vv2pBt6ZpXgD4VBNKONDl

> GMbkPayVlQjbG4MD2dx2+H8EH3LMtdZrgKvPxPTE+bF5wZVNAgMBAAGgJTAjBgkq

> hkiG9w0BCQcxFhMUQSBjaGFsbGVuZ2UgcGFzc3dvcmQwDQYJKoZIhvcNAQEFBQAD

> gYEAG61CaJoJaVMhzCl903O6Mg51zq1zXcz75+VFj2I6rH9asckCld3mkOVx5gJU

> Ptt5CVQpNgNLdvbDPSsXretysOhqHmp9+CLv8FDuy1CDYfuaLtvlWvfhevskV0j6

> mK3Ku+YiORnv6DhxrOoqau8r/hyI/L43l7IPN1HhOi3oha4=

> -----END CERTIFICATE-----

> ENDOFBUF

Firepower-chassis /security/keyring* # commit-buffer

Chassis-Manager für die Verwendung des neuen Zertifikats konfigurieren

Das Zertifikat wurde jetzt installiert, aber der Webdienst ist noch nicht für seine Verwendung konfiguriert.

Firepower-chassis# scope system

Firepower-chassis /system # scope services

Firepower-chassis /system/services # enable https

Firepower-chassis /system/services* # set https port 443

Warning: When committed, this closes all the web sessions.

Firepower-chassis /system/services* # set https keyring kring7984

Firepower-chassis /system/services* # set https cipher-suite-mode high

Firepower-chassis /system/services* # commit-buffer

Überprüfung

Verwenden Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

- show https - In der Ausgabe wird der Keyring angezeigt, der dem HTTPS-Server zugeordnet ist. Er kann den Namen wiedergeben, der in den oben genannten Schritten erstellt wurde. Wenn es immer noch Standard zeigt, dann wurde es nicht aktualisiert, um das neue Zertifikat zu verwenden.

Firepower-chassis /system/services # show https Name: https Admin State: Enabled Port: 443 Operational port: 443 Key Ring: kring7984 Cipher suite mode: Medium Strength Cipher suite: ALL:!ADH:!EXPORT40:!EXPORT56:!LOW:!RC4:!MD5:!IDEA:+HIGH:+MEDIU M:+EXP:+eNULL

- show keyring <keyring_name> detail - Die Ausgabe zeigt den Inhalt des Zertifikats an, das importiert wird, und zeigt an, ob es gültig ist oder nicht.

fp4120 /security #  scope security

fp4120 /security #  show keyring kring7984 detail Keyring kring7984: RSA key modulus: Mod2048 Trustpoint CA: tPoint10  Certificate status: Valid Certificate: Data: Version: 3 (0x2) Serial Number: 45:00:00:00:0a:de:86:55:16:82:24:f3:be:00:00:00:00:00:0a Signature Algorithm: ecdsa-with-SHA256 Issuer: DC=local, DC=naaustin, CN=naaustin-NAAUSTIN-PC-CA Validity Not Before: Apr 28 13:09:54 2016 GMT Not After : Apr 28 13:09:54 2018 GMT Subject: C=US, ST=California, L=San Jose, O=Cisco Systems, OU=TAC, CN=fp4120.test.local Subject Public Key Info: Public Key Algorithm: rsaEncryption Public-Key: (2048 bit) Modulus: 00:b3:43:8d:e6:06:a0:91:f6:76:7e:2e:09:54:40: 0d:1b:ee:d8:1a:07:07:6e:75:2d:ec:ba:55:c8:c0: a1:9c:a3:8f:26:30:70:91:43:0d:40:0d:66:42:c4: 50:0d:c6:c9:db:7d:bf:b0:ad:1f:31:29:f2:a8:e2: fc:27:30:bb:8a:dc:5e:54:46:51:cb:3e:ff:6b:1e: d6:18:db:de:83:f5:cf:fb:37:74:de:7b:78:19:73: 3a:dc:5b:2b:3d:c3:e6:03:b1:30:82:a0:d2:2e:84: a1:b4:11:15:d7:48:61:7f:8f:8d:c3:8a:4a:09:9f: 9e:49:29:12:26:44:c1:d5:91:da:29:5f:5b:b6:d6: 20:de:47:ff:50:45:14:82:4f:c4:ca:b5:6a:dc:1f: ae:d8:3b:28:a0:f5:6a:ef:a9:93:9b:c0:70:60:ca: 87:6c:91:2f:e0:f9:ae:46:35:84:f3:cc:84:bd:5c: 07:ec:94:c4:8a:3f:4e:bf:16:da:b6:30:e3:55:22: 47:64:15:11:b4:26:a7:bf:20:6f:1a:e2:cf:fd:0f: cd:9a:fd:cb:a3:71:bd:21:36:cb:2f:98:08:61:95: 5a:b5:3c:69:e8:74:d4:7b:31:f6:30:82:33:39:ab: d4:e9:dd:6d:07:da:e7:cb:18:06:b6:1e:5d:3d:5d: 1d:85 Exponent: 65537 (0x10001) X509v3 extensions: X509v3 Subject Alternative Name: DNS:fp4120.test.local X509v3 Subject Key Identifier: FF:55:A9:B2:D8:84:60:4C:6C:F0:39:59:59:CB:87:67:03:ED:BB:94 X509v3 Authority Key Identifier: keyid:C8:89:DB:0C:73:EB:17:01:04:05:C6:F1:19:28:10:5B:BA:4E:54:89 X509v3 CRL Distribution Points: Full Name: URI:ldap:///CN=naaustin-NAAUSTIN-PC-CA,CN=naaustin-pc,CN=CDP,CN=Public%20Key%20Services,CN=Services,CN=Configuration,DC=naaustin,DC=local?certificateRevocationList?base?objectClass=cRLDistributionPoint Authority Information Access: CA Issuers - URI:ldap:///CN=naaustin-NAAUSTIN-PC-CA,CN=AIA,CN=Public%20Key%20Services,CN=Services,CN=Configuration,DC=naaustin,DC=local?cACertificate?base?objectClass=certificationAuthority 10.3.6.1.4.1.311.20.2: ...W.e.b.S.e.r.v.e.r X509v3 Key Usage: critical Digital Signature, Key Encipherment X509v3 Extended Key Usage: TLS Web Server Authentication Signature Algorithm: ecdsa-with-SHA256 30:45:02:20:57:b0:ec:d7:09:8a:b1:2d:15:1b:f2:c6:39:10: e3:f7:55:a3:6a:08:e8:24:41:df:4f:16:41:b6:07:35:4b:bf: 02:21:00:ed:47:4e:6e:24:89:04:6f:cf:05:98:e6:b2:0a:08: 2b:ad:1a:91:b8:e8:b4:e4:ef:51:d5:1d:f5:be:8a:d5:4c -----BEGIN CERTIFICATE----- MIIE8DCCBJagAwIBAgITRQAAAArehlUWgiTzvgAAAAAACjAKBggqhkjOPQQDAjBT MRUwEwYKCZImiZPyLGQBGRYFbG9jYWwxGDAWBgoJkiaJk/IsZAEZFghuYWF1c3Rp bjEgMB4GA1UEAxMXbmFhdXN0aW4tTkFBVVNUSU4tUEMtQ0EwHhcNMTYwNDI4MTMw OTU0WhcNMTgwNDI4MTMwOTU0WjB3MQswCQYDVQQGEwJVUzETMBEGA1UECBMKQ2Fs aWZvcm5pYTERMA8GA1UEBxMIU2FuIEpvc2UxFjAUBgNVBAoTDUNpc2NvIFN5c3Rl bXMxDDAKBgNVBAsTA1RBQzEaMBgGA1UEAxMRZnA0MTIwLnRlc3QubG9jYWwwggEi MA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQCzQ43mBqCR9nZ+LglUQA0b7tga BwdudS3sulXIwKGco48mMHCRQw1ADWZCxFANxsnbfb+wrR8xKfKo4vwnMLuK3F5U RlHLPv9rHtYY296D9c/7N3Tee3gZczrcWys9w+YDsTCCoNIuhKG0ERXXSGF/j43D ikoJn55JKRImRMHVkdopX1u21iDeR/9QRRSCT8TKtWrcH67YOyig9WrvqZObwHBg yodskS/g+a5GNYTzzIS9XAfslMSKP06/Ftq2MONVIkdkFRG0Jqe/IG8a4s/9D82a /cujcb0hNssvmAhhlVq1PGnodNR7MfYwgjM5q9Tp3W0H2ufLGAa2Hl09XR2FAgMB AAGjggJYMIICVDAcBgNVHREEFTATghFmcDQxMjAudGVzdC5sb2NhbDAdBgNVHQ4E FgQU/1WpstiEYExs8DlZWcuHZwPtu5QwHwYDVR0jBBgwFoAUyInbDHPrFwEEBcbx GSgQW7pOVIkwgdwGA1UdHwSB1DCB0TCBzqCBy6CByIaBxWxkYXA6Ly8vQ049bmFh dXN0aW4tTkFBVVNUSU4tUEMtQ0EsQ049bmFhdXN0aW4tcGMsQ049Q0RQLENOPVB1 YmxpYyUyMEtleSUyMFNlcnZpY2VzLENOPVNlcnZpY2VzLENOPUNvbmZpZ3VyYXRp b24sREM9bmFhdXN0aW4sREM9bG9jYWw/Y2VydGlmaWNhdGVSZXZvY2F0aW9uTGlz dD9iYXNlP29iamVjdENsYXNzPWNSTERpc3RyaWJ1dGlvblBvaW50MIHMBggrBgEF BQcBAQSBvzCBvDCBuQYIKwYBBQUHMAKGgaxsZGFwOi8vL0NOPW5hYXVzdGluLU5B QVVTVElOLVBDLUNBLENOPUFJQSxDTj1QdWJsaWMlMjBLZXklMjBTZXJ2aWNlcyxD Tj1TZXJ2aWNlcyxDTj1Db25maWd1cmF0aW9uLERDPW5hYXVzdGluLERDPWxvY2Fs P2NBQ2VydGlmaWNhdGU/YmFzZT9vYmplY3RDbGFzcz1jZXJ0aWZpY2F0aW9uQXV0 aG9yaXR5MCEGCSsGAQQBgjcUAgQUHhIAVwBlAGIAUwBlAHIAdgBlAHIwDgYDVR0P AQH/BAQDAgWgMBMGA1UdJQQMMAoGCCsGAQUFBwMBMAoGCCqGSM49BAMCA0gAMEUC IFew7NcJirEtFRvyxjkQ4/dVo2oI6CRB308WQbYHNUu/AiEA7UdObiSJBG/PBZjm sgoIK60akbjotOTvUdUd9b6K1Uw= -----END CERTIFICATE----- Zeroized: No

- Geben Sie https://<FQDN_or_IP>/ in die Adressleiste eines Webbrowsers ein, navigieren Sie zum FirePOWER Chassis Manager, und überprüfen Sie, ob das neue vertrauenswürdige Zertifikat angezeigt wird.

Warnung: Browser überprüfen auch den Subjektnamen eines Zertifikats anhand der Eingabe in der Adressleiste. Wenn das Zertifikat also für den vollqualifizierten Domänennamen ausgestellt wird, muss es auf diese Weise im Browser geöffnet werden. Wenn über eine IP-Adresse auf die Datei zugegriffen wird, wird ein anderer SSL-Fehler ausgegeben (Common Name Invalid), auch wenn das vertrauenswürdige Zertifikat verwendet wird.

Fehlerbehebung

Es sind derzeit keine spezifischen Informationen zur Fehlerbehebung für diese Konfiguration verfügbar.

Zugehörige Informationen

- Zugriff auf die FXOS-CLI

- Technischer Support und Dokumentation für Cisco Systeme