Konfigurieren des Cisco VPN 3000 Concentrator 4.7.x zum Erhalt eines digitalen und eines SSL-Zertifikats

Download-Optionen

  • PDF     (790.4 KB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (793.3 KB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (1.1 MB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:21. April 2008
Dokument-ID:4123

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Einleitung

Dieses Dokument enthält schrittweise Anleitungen zur Konfiguration der Cisco VPN Concentrators der Serie 3000 für die Authentifizierung mithilfe von digitalen Zertifikaten oder Identitätszertifikaten und SSL-Zertifikaten.

Hinweis: Im VPN Concentrator muss der Lastenausgleich deaktiviert sein, bevor Sie ein weiteres SSL-Zertifikat generieren, da die Zertifikatgenerierung auf diese Weise verhindert wird.

Weitere Informationen zum gleichen Szenario mit PIX/ASA 7.x finden Sie unter How to obtain a Digital Certificate from a Microsoft Windows CA using ASDM on an ASA (Erhalten eines digitalen Zertifikats von einer Microsoft Windows-CA mit ASDM auf einer ASA).

Weitere Informationen zum gleichen Szenario mit Cisco IOS®-Plattformen finden Sie im Konfigurationsbeispiel für die Cisco IOS-Zertifikatregistrierung mit erweiterten Registrierungsbefehlen.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf dem Cisco VPN 3000 Concentrator, auf dem Version 4.7 ausgeführt wird.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

Installieren von digitalen Zertifikaten auf dem VPN-Konzentrator

Führen Sie diese Schritte aus:

  1. Wählen Sie Administration > Certificate Management > Enroll aus, um die Anforderung für das digitale Zertifikat oder das Identitätszertifikat auszuwählen.

    installdigital-16.gif

  2. Wählen Sie Administration > Certificate Management > Enrollment > Identity Certificate aus, und klicken Sie auf Enroll via PKCS10 Request(Manual).

    installdigital-17.gif

  3. Füllen Sie die erforderlichen Felder aus, und klicken Sie dann auf Registrieren.

    Diese Felder sind in diesem Beispiel ausgefüllt.

    • Common Name - altiga30

    • Organisationseinheit - IPSECCERT (die Organisationseinheit muss mit dem konfigurierten IPsec-Gruppennamen übereinstimmen)

    • Organisation - Cisco Systems

    • Lokalität - RTP

    • Bundesstaat/Provinz - NorthCarolina

    • Land - USA

    • Vollqualifizierter Domänenname - (wird hier nicht verwendet)

    • Schlüssellänge: 512

    Hinweis: Wenn Sie entweder ein SSL-Zertifikat oder ein Identitätszertifikat über das Simple Certificate Enrollment Protocol (SCEP) anfordern, sind nur diese RSA-Optionen verfügbar.

    • RSA 512 Bit

    • RSA 768 Bit

    • RSA 1024 Bit

    • RSA 2048 Bit

    • DSA 512 Bit

    • DSA 768 Bit

    • DSA 1024 Bit

    installdigital_01.gif

  4. Nachdem Sie auf Registrieren geklickt haben, werden mehrere Fenster angezeigt. Im ersten Fenster wird bestätigt, dass Sie ein Zertifikat angefordert haben.

    installdigital_02.gif

    Ein neues Browserfenster wird geöffnet, in dem die PKCS-Anforderungsdatei angezeigt wird.

    installdigital_02a.gif

  5. Markieren Sie die Anforderung auf Ihrem Zertifizierungsstellen-Server, und fügen Sie sie in Ihren Zertifizierungsstellen-Server ein, um die Anforderung zu übermitteln. Klicken Sie auf Next (Weiter).

    installdigital_03.gif

  6. Wählen Sie Erweiterte Anforderung aus, und klicken Sie auf Weiter.

    installdigital_04.gif

  7. Wählen Sie eine Zertifikatsanforderung mit einer Base64-codierten PKCS #10 -Datei oder eine Verlängerungsanforderung mit einer Base64-codierten PKCS #7 -Datei senden aus, und klicken Sie dann auf Weiter.

    installdigital_05.gif

  8. Schneiden Sie die PKCS-Datei aus, und fügen Sie sie in das Textfeld unter dem Abschnitt Gespeicherte Anforderung ein. Klicken Sie dann auf Senden.

    installdigital_06.gif

  9. Ausstellen des Identitätszertifikats auf dem Zertifizierungsstellenserver

    installdigital_07.gif

  10. Laden Sie den Stamm und die Identitätszertifikate herunter. Wählen Sie auf dem Zertifizierungsstellenserver die Option Auf ausstehendes Zertifikat überprüfen aus, und klicken Sie auf Weiter.

    installdigital_08.gif

  11. Wählen Sie Base 64-codiert aus, und klicken Sie auf Zertifizierungsstellenzertifikat herunterladen auf dem Zertifizierungsstellenserver.

    installdigital_09.gif

  12. Speichern Sie das Identitätszertifikat auf Ihrem lokalen Laufwerk.

    installdigital_10.gif

  13. Wählen Sie auf dem Zertifizierungsstellenserver die Option Zertifizierungsstellenzertifikat oder Zertifikatsperrliste abrufen aus, um das Stammzertifikat abzurufen. Klicken Sie dann auf Weiter.

    installdigital_11.gif

  14. Speichern Sie das Stammzertifikat auf Ihrem lokalen Laufwerk.

    installdigital_12.gif

  15. Installieren Sie die Stamm- und Identitätszertifikate auf dem VPN 3000 Concentrator. Wählen Sie dazu Administration > Certificate Manager > Installation > Install certificate called by enrollment. Klicken Sie unter Registrierungsstatus auf Installieren.

    installdigital_13.gif

  16. Klicken Sie auf Datei von Workstation hochladen.

    installdigital_14.gif

  17. Klicken Sie auf Durchsuchen, und wählen Sie die Stammzertifikatdatei aus, die Sie auf Ihrem lokalen Laufwerk gespeichert haben.

    Wählen Sie Installieren aus, um das Identitätszertifikat auf dem VPN Concentrator zu installieren. Die Verwaltung | Das Fenster "Certificate Management" wird als Bestätigung angezeigt, und Ihr neues Identitätszertifikat wird in der Tabelle "Identity Certificates" (Identitätszertifikate) angezeigt.

    installdigital_15.gif

    Hinweis: Führen Sie diese Schritte aus, um ein neues Zertifikat zu generieren, wenn das Zertifikat fehlschlägt.

    1. Wählen Sie Administration > Certificate Management aus.

    2. Klicken Sie in der Liste "SSL-Zertifikat" im Feld "Aktionen" auf Löschen.

    3. Wählen Sie Administration > System Reboot aus.

    4. Wählen Sie die Option Aktive Konfiguration beim Neustart speichern, wählen Sie Jetzt aus, und klicken Sie auf Anwenden. Sie können jetzt ein neues Zertifikat generieren, nachdem der Neuladen abgeschlossen ist.

SSL-Zertifikate auf dem VPN Concentrator installieren

Wenn Sie eine sichere Verbindung zwischen Ihrem Browser und dem VPN Concentrator verwenden, benötigt der VPN Concentrator ein SSL-Zertifikat. Sie benötigen außerdem ein SSL-Zertifikat für die Schnittstelle, die Sie für die Verwaltung des VPN Concentrator und für WebVPN verwenden, sowie für jede Schnittstelle, die WebVPN-Tunnel terminiert.

Die SSL-Schnittstellenzertifikate werden, falls nicht vorhanden, automatisch generiert, wenn der VPN 3000 Concentrator nach dem Upgrade der VPN 3000 Concentrator-Software neu gestartet wird. Da ein selbstsigniertes Zertifikat selbst generiert wird, kann dieses Zertifikat nicht verifiziert werden. Keine Zertifizierungsstelle hat ihre Identität garantiert. Dieses Zertifikat ermöglicht Ihnen jedoch, den ersten Kontakt mit dem VPN Concentrator über den Browser herzustellen. Wenn Sie es durch ein anderes selbstsigniertes SSL-Zertifikat ersetzen möchten, gehen Sie wie folgt vor:

  1. Wählen Sie Administration > Certificate Management aus.

    installdigital-18.gif

  2. Klicken Sie auf Generate (Generieren), um das neue Zertifikat in der SSL Certificate-Tabelle anzuzeigen und das vorhandene zu ersetzen.

    In diesem Fenster können Sie Felder für SSL-Zertifikate konfigurieren, die der VPN Concentrator automatisch generiert. Diese SSL-Zertifikate dienen Schnittstellen und dem Lastenausgleich.

    installdigital-19.gif

    Wenn Sie ein überprüfbares SSL-Zertifikat (d. h. ein von einer Zertifizierungsstelle ausgestelltes Zertifikat) erhalten möchten, lesen Sie den Abschnitt Digitale Zertifikate auf dem VPN Concentrator installieren, um das gleiche Verfahren zum Abrufen von Identitätszertifikaten zu verwenden. Diesmal jedoch klicken Sie im Fenster Administration > Certificate Management > Enroll (Administration > Zertifikatsverwaltung > Registrierung) auf SSL-Zertifikat (anstelle von Identity Certificate).

    Hinweis: Weitere Informationen finden Sie unter Administration | Certificate Management section of VPN 3000 Concentrator Reference Volume II: Administration and Monitoring Release 4.7 für umfassende Informationen über digitale Zertifikate und SSL-Zertifikate.

Erneuern Sie die SSL-Zertifikate auf dem VPN Concentrator.

In diesem Abschnitt wird beschrieben, wie Sie die SSL-Zertifikate erneuern:

Wenn dies für das vom VPN Concentrator generierte SSL-Zertifikat gilt, gehen Sie zu Administration > Certificate Management im Abschnitt SSL. Klicken Sie auf die Option renew (Verlängern), mit der das SSL-Zertifikat erneuert wird.

Wenn es sich um ein Zertifikat handelt, das von einem externen Zertifizierungsstellenserver erteilt wurde, führen Sie die folgenden Schritte aus:

  1. Wählen Sie Administration > Certificate Management >Delete unter SSL Certificates (SSL-Zertifikate), um die abgelaufenen Zertifikate von der öffentlichen Schnittstelle zu löschen.

    installdigital-20.gif

    Klicken Sie auf Ja, um das Löschen des SSL-Zertifikats zu bestätigen.

    installdigital-21.gif

  2. Wählen Sie Administration > Certificate Management > Generate (Verwaltung > Zertifikatsverwaltung > Generieren), um das neue SSL-Zertifikat zu generieren.

    installdigital-22.gif

    Das neue SSL-Zertifikat für die öffentliche Schnittstelle wird angezeigt.

    installdigital-23.gif

Zugehörige Informationen

Revisionsverlauf

Überarbeitung Veröffentlichungsdatum Kommentare
1.0
07-Sep-2001
Erstveröffentlichung

War dieses Dokument hilfreich?

FeedbackFeedback

Cisco kontaktieren