Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Anfordern und Installieren eines neuen Identitätszertifikats mit ASDM

Anfordern und Installieren eines neuen Identitätszertifikats mit Zertifikatsanforderung (Certificate Signing Request, CSR)

Erstellen eines CSR mit ASDM

Erstellen eines Vertrauenspunkts mit einem bestimmten Namen

(Optional) Erstellen eines neuen Schlüsselpaars

Wählen Sie den Namen des Schlüsselpaars aus.

Zertifikatantragsteller und vollständig qualifizierter Domänenname (FQDN) konfigurieren

Erstellen und Speichern der CSR-Anfrage

Installieren des Identitätszertifikats im PEM-Format mit ASDM

Installieren des Zertifizierungsstellenzertifikats, das den CSR signiert hat

Identitätszertifikat installieren

Anbinden des neuen Zertifikats an eine ASDM-Schnittstelle

Installieren eines im PKCS12-Format empfangenen Identitätszertifikats mit ASDM

Installieren der Identitäts- und Zertifizierungsstellenzertifikate aus einer PKCS12-Datei

Anbinden des neuen Zertifikats an eine ASDM-Schnittstelle

Erneuerung des Zertifikats

Erneuern eines Zertifikats, das für eine Zertifikatsanforderung (Certificate Signing Request, CSR) beim ASDM registriert ist

Erstellen eines CSR mit ASDM

Erstellen Sie einen neuen Vertrauenspunkt mit einem bestimmten Namen.

(Optional) Erstellen eines neuen Schlüsselpaars

Wählen Sie den Namen des Schlüsselpaars aus.

Zertifikatantragsteller und vollständig qualifizierter Domänenname (FQDN) konfigurieren

Erstellen und Speichern der CSR-Anfrage

Installieren des Identitätszertifikats im PEM-Format mit ASDM

Installieren des Zertifizierungsstellenzertifikats, das den CSR signiert hat

Identitätszertifikat installieren

Anbinden des neuen Zertifikats an eine ASDM-Schnittstelle

Erneuern eines Zertifikats, das bei einer PKCS12-Datei bei ASDM registriert ist

Installieren des verlängerten Identitätszertifikats und der Zertifizierungsstellenzertifikate aus einer PKCS12-Datei

Anbinden des neuen Zertifikats an eine ASDM-Schnittstelle

Überprüfung

Anzeigen installierter Zertifikate über ASDM

Fehlerbehebung

Häufig gestellte Fragen

Einleitung

In diesem Dokument wird beschrieben, wie Sie bestimmte Zertifikatstypen auf der mit ASDM verwalteten Cisco ASA-Software anfordern, installieren, als vertrauenswürdig einstufen und verlängern.

Voraussetzungen

Anforderungen

- Vergewissern Sie sich vor dem Start, dass die Adaptive Security Appliance (ASA) über die richtige Uhrzeit, das richtige Datum und die richtige Zeitzone verfügt. Für die Zertifikatsauthentifizierung wird die Verwendung eines NTP-Servers (Network Time Protocol) empfohlen, um die Uhrzeit auf der ASA zu synchronisieren. Weitere Informationen finden Sie unter Zugehörige Informationen.

- Um ein Zertifikat anzufordern, das eine CSR-Anfrage (Certificate Signing Request) verwendet, muss es Zugriff auf eine vertrauenswürdige interne Zertifizierungsstelle oder eine Zertifizierungsstelle eines Drittanbieters haben. Zu den CA-Anbietern von Drittanbietern gehören u. a. Entrust, Geotrust, GoDaddy, Thawte und VeriSign.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- ASA v9.18.1

- Für die PKCS12-Erstellung wird OpenSSL verwendet.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Folgende Zertifikatstypen werden in diesem Dokument adressiert:

- selbstsignierte Zertifikate

- Zertifikate, die von einer Zertifizierungsstelle oder internen Zertifizierungsstelle eines Drittanbieters unterzeichnet wurden

Die Secure Socket Layer (SSL)-, Transport Layer Security (TLS)- und IKEv2 rfc7296 für EAP-Authentifizierungsprotokolle erfordern, dass der SSL/TLS/IKEv2-Server dem Client ein Serverzertifikat für den Client bereitstellt, damit dieser die Serverauthentifizierung durchführen kann. Es wird empfohlen, vertrauenswürdige Zertifizierungsstellen von Drittanbietern zu verwenden, um SSL-Zertifikate an die ASA auszustellen.

Cisco empfiehlt die Verwendung eines selbstsignierten Zertifikats nicht, da die Möglichkeit besteht, dass ein Benutzer versehentlich einen Browser so konfigurieren kann, dass er einem Zertifikat eines nicht autorisierten Servers vertraut. Für Benutzer ist es zudem unpraktisch, auf eine Sicherheitswarnung reagieren zu müssen, wenn sie eine Verbindung mit dem sicheren Gateway herstellen.

Anfordern und Installieren eines neuen Identitätszertifikats mit ASDM

Ein Zertifikat kann von einer Zertifizierungsstelle angefordert und auf einem ASA auf zwei Arten installiert werden:

- Verwenden der Zertifikatsanforderung (CSR) Generieren Sie ein Schlüsselpaar, fordern Sie ein Identitätszertifikat von der Zertifizierungsstelle mit einem CSR an, installieren Sie das signierte Identitätszertifikat, das Sie von der Zertifizierungsstelle erhalten haben.

- Verwenden Sie eine PKCS12-Datei, die von einer CA abgerufen oder von einem anderen Gerät exportiert wurde. Die PKCS12-Datei enthält Schlüsselpaar, Identitätszertifikat, Zertifizierungsstellenzertifikat(e).

Anfordern und Installieren eines neuen Identitätszertifikats mit Zertifikatsanforderung (Certificate Signing Request, CSR)

Eine CSR-Anfrage wird auf dem Gerät erstellt, für das ein Identitätszertifikat erforderlich ist. Verwenden Sie dazu ein auf dem Gerät erstelltes Schlüsselpaar.

Ein CSR enthält:

- Zertifikatanforderungsinformationen - angeforderter Betreff und andere Attribute, öffentlicher Schlüssel vom Schlüsselpaar

- Signaturalgorithmus-Information

- digitale Signatur der Zertifikatanforderungsinformationen mit privatem Schlüssel vom Schlüsselpaar

Der CSR wird an die Zertifizierungsstelle übergeben, damit diese ihn in einem PKCS#10-Formular signieren kann.

Das signierte Zertifikat wird von der Zertifizierungsstelle in PEM-Form zurückgegeben.

Hinweis: CA kann die Parameter FQDN und Subject Name (Antragstellername) ändern, die im Vertrauenspunkt beim Signieren des CSR und Erstellen eines signierten Identitätszertifikats definiert sind.

Erstellen eines CSR mit ASDM

1. Erstellen eines Vertrauenspunkts mit einem bestimmten Namen

1. Navigieren Sie zu Konfiguration > Geräteverwaltung > Zertifikatsverwaltung > Identitätszertifikate.

2. Klicken Sie auf Hinzufügen.

3. Definieren Sie einen Vertrauenspunktnamen.

4. Klicken Sie auf das Optionsfeld Neues Identitätszertifikat hinzufügen.

2. (Optional) Erstellen eines neuen Schlüsselpaars

Hinweis: Standardmäßig wird der RSA-Schlüssel mit dem Namen Default-RSA-Key und einer Größe von 2048 verwendet. Es wird jedoch empfohlen, für jedes Identitätszertifikat ein eindeutiges privates/öffentliches Schlüsselpaar zu verwenden.

1. Klicken Sie auf Neu, um ein neues Schlüsselpaar zu generieren.

2. Wählen Sie die Option Neuen Schlüsselpaarnamen eingeben und geben Sie einen Namen für das neue Schlüsselpaar ein.

3. Wählen Sie den Schlüsseltyp aus - RSA oder ECDSA.

4. Wählen Sie die Schlüssellänge aus; für RSA wählen Sie Allgemeiner Verwendungszweck.

5. Klicken Sie auf Jetzt generieren. Das Schlüsselpaar wird nun erstellt.

3. Wählen Sie den Namen des Schlüsselpaars aus.

- Wählen Sie das Schlüsselpaar aus, mit dem der CSR signiert und mit dem neuen Zertifikat verknüpft werden soll.

4. Zertifikatantragsteller und vollständig qualifizierter Domänenname (FQDN) konfigurieren

Achtung: Der FQDN-Parameter muss mit dem FQDN oder der IP-Adresse der ASA-Schnittstelle übereinstimmen, für die das Identitätszertifikat verwendet wird. Dieser Parameter legt die angeforderte SAN-Erweiterung (Subject Alternative Name) für das Identitätszertifikat fest. Die SAN-Erweiterung wird vom SSL/TLS/IKEv2-Client verwendet, um zu überprüfen, ob das Zertifikat mit dem FQDN übereinstimmt, mit dem es verbunden wird.

1. Klicken Sie auf Auswählen.

2. Konfigurieren Sie im Fenster Zertifikatantragsteller-DN Zertifikatattribute. Wählen Sie ein Attribut aus der Dropdown-Liste aus, geben Sie den Wert ein, und klicken Sie auf Hinzufügen.

Attribut

Beschreibung

KN

Der Name, über den auf die Firewall zugegriffen werden kann (normalerweise der vollqualifizierte Domänenname, z. B. vpn.example.com).

OU

Der Name Ihrer Abteilung innerhalb der Organisation.

O

Der gesetzlich registrierte Name Ihrer Organisation/Ihres Unternehmens

C

Landesvorwahl (Code aus 2 Buchstaben ohne Interpunktion)

ST

Der Status, in dem sich Ihre Organisation befindet.

L

Die Stadt, in der Ihre Organisation ansässig ist.

EA

Email-Adresse

Hinweis: Keines der vorherigen Felder darf mehr als 64 Zeichen enthalten. Eine Überschreitung dieses Grenzwerts kann später Probleme bei der Installation des Identitätszertifikats verursachen. Außerdem müssen nicht alle DN-Attribute definiert werden.
Klicken Sie nach dem Hinzufügen aller Attribute auf OK.

3. Konfigurieren Sie den FQDN des Geräts: Klicken Sie auf Erweitert.

4. Geben Sie im Feld FQDN den vollqualifizierten Domänennamen ein, über den das Gerät vom Internet aus erreichbar ist. Klicken Sie auf OK.

5. Erstellen und Speichern der CSR-Anfrage

1. Klicken Sie auf Zertifikat hinzufügen.

2. Es wird eine Aufforderung angezeigt, den CSR in einer Datei auf dem lokalen Computer zu speichern.

Klicken Sie auf Durchsuchen, wählen Sie einen Speicherort für die CSR-Datei aus, und speichern Sie die Datei mit der Erweiterung .txt.
Hinweis: Wenn die Datei mit der Erweiterung .txt gespeichert wird, kann die PKCS#10-Anforderung geöffnet und mit einem Texteditor (z. B. Editor) angezeigt werden.

3. Jetzt wird der neue Vertrauenspunkt im Status Ausstehend angezeigt.

Installieren des Identitätszertifikats im PEM-Format mit ASDM

Bei den Installationsschritten wird davon ausgegangen, dass die Zertifizierungsstelle den CSR signiert und ein PEM-codiertes Identitätszertifikat- und Zertifizierungsstellen-Zertifikatpaket (.pem, .cer, .crt) bereitgestellt hat.

1. Installieren des Zertifizierungsstellenzertifikats, das den CSR signiert hat

1. Navigieren Sie zu Configuration > Device Management > Certificate Management >, und wählen Sie CA Certificates aus. Klicken Sie auf Hinzufügen.

2. Geben Sie den Namen des Vertrauenspunkts ein, wählen Sie Install From File (Von Datei installieren) aus, klicken Sie auf Browse (Durchsuchen), und wählen Sie das Zwischenzertifikat aus. Sie können auch das PEM-codierte CA-Zertifikat aus einer Textdatei in das Textfeld einfügen.

Hinweis: Installieren Sie das Zertifizierungsstellenzertifikat, das den CSR signiert hat, und verwenden Sie den gleichen Namen für den Vertrauenspunkt wie das Identitätszertifikat. Die anderen Zertifizierungsstellenzertifikate weiter oben in der PKI-Hierarchie können in separaten Vertrauenspunkten installiert werden.

3. Klicken Sie auf Zertifikat installieren.

2. Identitätszertifikat installieren

1. Wählen Sie das Identitätszertifikat aus, das zuvor während der CSR-Generierung erstellt wurde. Klicken Sie auf Installieren.

Hinweis: Das Identitätszertifikat kann das Feld "Issued By" (Ausgestellt von) als nicht verfügbar und das Feld "Expiry Date" (Ablaufdatum) als ausstehend aufweisen.

2. Wählen Sie eine Datei aus, die das von der Zertifizierungsstelle empfangene PEM-codierte Identitätszertifikat enthält, oder öffnen Sie das PEM-codierte Zertifikat in einem Texteditor, und kopieren Sie das von der Zertifizierungsstelle bereitgestellte Identitätszertifikat, und fügen Sie es in das Textfeld ein.

Hinweis: Identitätszertifikate können im Format .pem, .cer oder .crt installiert werden.

3. Klicken Sie auf Zertifikat installieren.

3. Anbinden des neuen Zertifikats an eine ASDM-Schnittstelle
Die ASA muss so konfiguriert werden, dass das neue Identitätszertifikat für WebVPN-Sitzungen verwendet wird, die auf der angegebenen Schnittstelle enden.

1. Navigieren Sie zu Configuration > Remote Access VPN > Advanced > SSL Settings.

2. Wählen Sie unter Certificates (Zertifikate) die Schnittstelle aus, die zum Beenden von WebVPN-Sitzungen verwendet wird. In diesem Beispiel wird die externe Schnittstelle verwendet.
Klicken Sie auf Bearbeiten.

3. Wählen Sie in der Dropdown-Liste Zertifikat (Certificate) das neu installierte Zertifikat aus.

4. Klicken Sie auf OK.

5. Klicken Sie auf Apply (Anwenden).

Jetzt wird das neue Identitätszertifikat verwendet.

Installieren eines im PKCS12-Format empfangenen Identitätszertifikats mit ASDM

Die PKCS12-Datei (im .p12- oder .pfx-Format) enthält Identitätszertifikat, Schlüsselpaar und Zertifizierungsstellenzertifikat(e). Er wird von der Zertifizierungsstelle erstellt, z. B. im Falle eines Platzhalterzertifikats, oder von einem anderen Gerät exportiert. Es handelt sich um eine Binärdatei, die nicht mit einem Texteditor angezeigt werden kann.

1. Installieren der Identitäts- und Zertifizierungsstellenzertifikate aus einer PKCS12-Datei
Identitätszertifikat, Zertifizierungsstellenzertifikat(e) und Schlüsselpaar müssen in einer einzigen PKCS12-Datei gebündelt werden.

1. Navigieren Sie zu Configuration > Device Management > Certificate Management, und wählen Sie Identity Certificates aus.

2. Klicken Sie auf Hinzufügen.

3. Geben Sie einen Vertrauenspunktnamen an.

4. Klicken Sie auf das Optionsfeld Identitätszertifikat aus einer Datei importieren.

5. Geben Sie die Passphrase ein, die zum Erstellen der PKCS12-Datei verwendet wird.

6. Klicken Sie auf Zertifikat hinzufügen.

Hinweis: Wenn Sie eine PKCS12 mit Zertifizierungsstellen-Zertifikatkette importieren, erstellt der ASDM die Upstream-Zertifizierungsstellen-Vertrauenspunkte automatisch mit Namen mit dem Suffix "-Nummer".

2. Anbinden des neuen Zertifikats an eine ASDM-Schnittstelle
Die ASA muss so konfiguriert werden, dass das neue Identitätszertifikat für WebVPN-Sitzungen verwendet wird, die auf der angegebenen Schnittstelle enden.

1. Navigieren Sie zu Configuration > Remote Access VPN > Advanced > SSL Settings.

2. Wählen Sie unter Zertifikate die Schnittstelle aus, die zum Beenden von WebVPN-Sitzungen verwendet wird. In diesem Beispiel wird die externe Schnittstelle verwendet.
Klicken Sie auf Bearbeiten.

3. Wählen Sie in der Dropdown-Liste Zertifikat (Certificate) das neu installierte Zertifikat aus.

4. Klicken Sie auf OK.

5. Klicken Sie auf Apply (Anwenden).

Jetzt wird das neue Identitätszertifikat verwendet.

Erneuerung des Zertifikats

Erneuern eines Zertifikats, das für eine Zertifikatsanforderung (Certificate Signing Request, CSR) beim ASDM registriert ist

Für die Zertifikaterneuerung eines im CSR registrierten Zertifikats muss ein neuer Trustpoint erstellt und registriert werden. Sie muss einen anderen Namen haben (z. B. den alten Namen mit dem Suffix für das Registrierungsjahr). Es können die gleichen Parameter und das Schlüsselpaar wie das alte Zertifikat verwendet werden, oder es können verschiedene verwendet werden.

Erstellen eines CSR mit ASDM

1. Erstellen Sie einen neuen Vertrauenspunkt mit einem bestimmten Namen.

1. Navigieren Sie zu Konfiguration > Geräteverwaltung > Zertifikatsverwaltung > Identitätszertifikate.

2. Klicken Sie auf Hinzufügen.

3. Definieren Sie einen Vertrauenspunktnamen.

4. Klicken Sie auf das Optionsfeld Neues Identitätszertifikat hinzufügen.

2. (Optional) Erstellen eines neuen Schlüsselpaars

Hinweis: Standardmäßig wird der RSA-Schlüssel mit dem Namen Default-RSA-Key und einer Größe von 2048 verwendet. Es wird jedoch empfohlen, für jedes Identitätszertifikat ein eindeutiges privates/öffentliches Schlüsselpaar zu verwenden.

1. Klicken Sie auf Neu, um ein neues Schlüsselpaar zu generieren.

2. Wählen Sie die Option Neuen Schlüsselpaarnamen eingeben aus, und geben Sie einen Namen für das neue Schlüsselpaar ein.

3. Wählen Sie den Schlüsseltyp aus - RSA oder ECDSA.

4. Wählen Sie die Schlüssellänge aus. Wählen Sie für RSA "Allgemeiner Verwendungszweck" aus.

5. Klicken Sie auf Jetzt generieren. Das Schlüsselpaar wird nun erstellt.

3. Wählen Sie den Namen des Schlüsselpaars aus.

- Wählen Sie das Schlüsselpaar aus, mit dem der CSR signiert und mit dem neuen Zertifikat verknüpft werden soll.

4. Zertifikatantragsteller und vollständig qualifizierter Domänenname (FQDN) konfigurieren

Achtung: Der FQDN-Parameter muss mit dem FQDN oder der IP-Adresse der ASA-Schnittstelle übereinstimmen, für die das Zertifikat verwendet wird. Dieser Parameter legt den alternativen Antragstellernamen (SAN) für das Zertifikat fest. Das SAN-Feld wird vom SSL/TLS/IKEv2-Client verwendet, um zu überprüfen, ob das Zertifikat mit dem FQDN übereinstimmt, mit dem es verbunden wird.

Hinweis: CA kann die Parameter FQDN und Subject Name (Antragstellername) ändern, die im Vertrauenspunkt beim Signieren des CSR und Erstellen eines signierten Identitätszertifikats definiert sind.

1. Klicken Sie auf Auswählen.

2. Konfigurieren Sie im Fenster Zertifikatantragsteller-DN Zertifikatattribute - Wählen Sie ein Attribut aus der Dropdown-Liste aus, geben Sie den Wert ein, und klicken Sie auf Hinzufügen.

Attribut

Beschreibung

KN

Der Name, über den auf die Firewall zugegriffen werden kann (normalerweise der vollqualifizierte Domänenname, z. B. vpn.example.com).

OU

Der Name Ihrer Abteilung innerhalb der Organisation.

O

Der gesetzlich registrierte Name Ihrer Organisation/Ihres Unternehmens

C

Landesvorwahl (Code aus 2 Buchstaben ohne Interpunktion)

ST

Der Status, in dem sich Ihre Organisation befindet.

L

Die Stadt, in der Ihre Organisation ansässig ist.

EA

Email-Adresse

Hinweis: Keines der vorherigen Felder darf mehr als 64 Zeichen enthalten. Eine Überschreitung dieses Grenzwerts kann später Probleme bei der Installation des Identitätszertifikats verursachen. Außerdem müssen nicht alle DN-Attribute definiert werden.
Klicken Sie nach dem Hinzufügen aller Attribute auf OK.

3. Um den FQDN des Geräts zu konfigurieren, klicken Sie auf Advanced (Erweitert).

4. Geben Sie im Feld FQDN den vollqualifizierten Domänennamen ein, über den das Gerät vom Internet aus erreichbar ist. Klicken Sie auf OK.

5. Erstellen und Speichern der CSR-Anfrage

1. Klicken Sie auf Zertifikat hinzufügen.

2. Es wird eine Aufforderung angezeigt, den CSR in einer Datei auf dem lokalen Computer zu speichern.

Klicken Sie auf Durchsuchen. Wählen Sie einen Speicherort für die CSR-Datei aus, und speichern Sie die Datei mit der Erweiterung .txt.
Hinweis: Wenn die Datei mit der Erweiterung .txt gespeichert wird, kann die PKCS#10-Anforderung geöffnet und mit einem Texteditor (z. B. Editor) angezeigt werden.

3. Jetzt wird der neue Vertrauenspunkt im Status Ausstehend angezeigt.

Installieren des Identitätszertifikats im PEM-Format mit ASDM

Bei den Installationsschritten wird davon ausgegangen, dass die Zertifizierungsstelle den CSR signiert und ein PEM-codiertes (.pem, .cer, .crt) neues Identitätszertifikat- und Zertifizierungsstellen-Zertifikatpaket bereitgestellt hat.

1. Installieren des Zertifizierungsstellenzertifikats, das den CSR signiert hat
Das Zertifizierungsstellenzertifikat, das das Identitätszertifikat signiert hat, kann in dem für das Identitätszertifikat erstellten Vertrauenspunkt installiert werden. Wenn das Identitätszertifikat von einer zwischengeschalteten Zertifizierungsstelle signiert wird, kann dieses Zertifizierungsstellenzertifikat im Vertrauenspunkt für das Identitätszertifikat installiert werden. Alle in der Hierarchie vorgelagerten Zertifizierungsstellenzertifikate können in separaten Zertifizierungsstellen-Vertrauenspunkten installiert werden.

1. Navigieren Sie zu Configuration > Device Management > Certificate Management >, und wählen Sie CA Certificates aus. Klicken Sie auf Hinzufügen.

2. Geben Sie den Namen des Vertrauenspunkts ein, und wählen Sie Install From File (Von Datei installieren), klicken Sie auf Browse (Durchsuchen), und wählen Sie das zwischengeschaltete Zertifikat aus. Sie können auch das PEM-codierte CA-Zertifikat aus einer Textdatei in das Textfeld einfügen.

Hinweis: Installieren Sie das Zwischenzertifikat mit demselben Vertrauenspunktnamen wie den Namen des Vertrauenspunkts des Identitätszertifikats, wenn das Identitätszertifikat vom Zwischenzertifikat signiert wird.

3. Klicken Sie auf Zertifikat installieren.

Im Beispiel wird das neue Zertifikat mit demselben CA-Zertifikat signiert wie das alte. Dieselbe Zertifizierungsstelle ist nun zwei Vertrauenspunkten zugeordnet.

2. Identitätszertifikat installieren

1. Wählen Sie das Identitätszertifikat aus, das zuvor mit der CSR-Generierung erstellt wurde. Klicken Sie auf Installieren.

Hinweis: Das Feld "Ausstellungszertifikat" kann nicht verfügbar und das Feld "Ablaufdatum" ausstehend sein.

2. Wählen Sie eine Datei aus, die das von der Zertifizierungsstelle empfangene PEM-codierte Identitätszertifikat enthält, oder öffnen Sie das PEM-codierte Zertifikat in einem Texteditor, und kopieren Sie das von der Zertifizierungsstelle bereitgestellte Identitätszertifikat, und fügen Sie es in das Textfeld ein.

Hinweis: Identitätszertifikate können im Format .pem, .cer oder .crt installiert werden.

3. Klicken Sie auf Zertifikat installieren.

Nach der Installation sind alte und neue Identitätszertifikate vorhanden.

3. Anbinden des neuen Zertifikats an eine ASDM-Schnittstelle
Die ASA muss so konfiguriert werden, dass das neue Identitätszertifikat für WebVPN-Sitzungen verwendet wird, die auf der angegebenen Schnittstelle enden.

1. Navigieren Sie zu Configuration > Remote Access VPN > Advanced > SSL Settings.

2. Wählen Sie unter Certificates (Zertifikate) die Schnittstelle aus, die zum Beenden von WebVPN-Sitzungen verwendet wird. In diesem Beispiel wird die externe Schnittstelle verwendet.
Klicken Sie auf Bearbeiten.

3. Wählen Sie in der Dropdown-Liste Zertifikat (Certificate) das neu installierte Zertifikat aus.

4. Klicken Sie auf OK.

5. Klicken Sie auf Apply (Anwenden). Jetzt wird das neue Identitätszertifikat verwendet.

Erneuern eines Zertifikats, das bei einer PKCS12-Datei bei ASDM registriert ist

Für die Zertifikatverlängerung eines für PKCS12 registrierten Zertifikats muss ein neuer Vertrauenspunkt erstellt und registriert werden. Sie muss einen anderen Namen haben (z. B. den alten Namen mit dem Suffix für das Registrierungsjahr).

Die PKCS12-Datei (im .p12- oder .pfx-Format) enthält Identitätszertifikat, Schlüsselpaar und Zertifizierungsstellenzertifikat(e). Sie wird von der Zertifizierungsstelle erstellt, z. B. bei einem Platzhalterzertifikat, oder von einem anderen Gerät exportiert. Es handelt sich um eine Binärdatei, die nicht mit einem Texteditor angezeigt werden kann.

1. Installieren des verlängerten Identitätszertifikats und der Zertifizierungsstellenzertifikate aus einer PKCS12-Datei
Identitätszertifikat, Zertifizierungsstellenzertifikat(e) und Schlüsselpaar müssen in einer einzigen PKCS12-Datei gebündelt werden.

1. Navigieren Sie zu Configuration > Device Management > Certificate Management, und wählen Sie Identity Certificates aus.

2. Klicken Sie auf Hinzufügen.

3. Geben Sie einen neuen Vertrauenspunktnamen an.

4. Klicken Sie auf das Optionsfeld Identitätszertifikat aus einer Datei importieren.

5. Geben Sie die Passphrase ein, die zum Erstellen der PKCS12-Datei verwendet wird.

6. Klicken Sie auf Zertifikat hinzufügen.

Hinweis: Beim Importieren einer PKCS12 mit Zertifizierungsstellen-Zertifikaten-Kette erstellt der ASDM die Upstream-Zertifizierungsstellen-Vertrauenspunkte automatisch mit Namen mit dem Suffix "-Nummer".

2. Anbinden des neuen Zertifikats an eine ASDM-Schnittstelle
Die ASA muss so konfiguriert werden, dass das neue Identitätszertifikat für WebVPN-Sitzungen verwendet wird, die auf der angegebenen Schnittstelle enden.

1. Navigieren Sie zu Configuration > Remote Access VPN > Advanced > SSL Settings.

2. Wählen Sie unter Certificates (Zertifikate) die Schnittstelle aus, die zum Beenden von WebVPN-Sitzungen verwendet wird. In diesem Beispiel wird die externe Schnittstelle verwendet.
Klicken Sie auf Bearbeiten.

3. Wählen Sie in der Dropdown-Liste Zertifikat (Certificate) das neu installierte Zertifikat aus.

4. Klicken Sie auf OK.

5. Klicken Sie auf Apply (Anwenden).

Jetzt wird das neue Identitätszertifikat verwendet.

Überprüfung

Verwenden Sie diese Schritte, um die erfolgreiche Installation des Drittanbieter-Zertifikats zu überprüfen und für SSL VPN-Verbindungen zu verwenden.

Anzeigen installierter Zertifikate über ASDM

1. Navigieren Sie zu Configuration > Remote Access VPN > Certificate Management, und wählen Sie Identity Certificates aus.

2. Das vom Drittanbieter ausgestellte Identitätszertifikat kann angezeigt werden.

Fehlerbehebung

Diese Debug-Befehle sind in der CLI zu erfassen, wenn bei der Installation des SSL-Zertifikats ein Fehler auftritt.

- debug crypto ca 255

- Debuggen von Crypto CA-Nachrichten 255

- Debuggen von Crypto-CA-Transaktionen 255

Häufig gestellte Fragen

F.Was ist ein PKCS12?

A.In der Verschlüsselung definiert PKCS12 ein Archivdateiformat zum Speichern vieler Kryptografieobjekte als eine einzige Datei. Es wird häufig verwendet, um einen privaten Schlüssel mit seinem X.509-Zertifikat zu bündeln oder um alle Mitglieder einer Vertrauenskette zu bündeln.

F.Was ist eine CSR?

A.In Public Key Infrastructure (PKI)-Systemen ist eine Zertifikatsunterzeichnungsanforderung (auch CSR oder Zertifizierungsanforderung) eine Nachricht, die von einem Antragsteller an eine Registrierungsbehörde der Public Key-Infrastruktur gesendet wird, um ein digitales Identitätszertifikat zu beantragen. Es enthält in der Regel den öffentlichen Schlüssel, für den das Zertifikat ausgestellt werden kann, Identifizierungsinformationen (wie einen Domänennamen) und Integritätsschutz (z. B. eine digitale Signatur).

F.Wo ist das Kennwort des PKCS12?

A.Wenn Sie die PKCS12-Datei exportieren, befindet sich das Kennwort in dem Befehl, den Sie eingeben müssen.  Wenn Sie eine pkcs12-Datei erhalten haben, wird Ihnen das Kennwort von der Person/Partei mitgeteilt, die Besitzer des CA Servers ist.

F.Was ist der Unterschied zwischen der Root und der Identität?

A.In Kryptografie und Computersicherheit ist ein Stammzertifikat ein Public-Key-Zertifikat, das eine Stammzertifizierungsstelle (Certificate Authority, CA) identifiziert. Stammzertifikate sind selbstsigniert (und ein Zertifikat kann über mehrere vertrauenswürdige Pfade verfügen, z. B. wenn das Zertifikat von einem Stamm ausgestellt wurde, der kreuzsigniert wurde) und bilden die Grundlage einer X.509-basierten Public Key Infrastructure (PKI). Ein Public-Key-Zertifikat, auch als digitales Zertifikat oder Identitätszertifikat bezeichnet, ist ein elektronisches Dokument, mit dem der Besitz eines öffentlichen Schlüssels nachgewiesen wird. Das Zertifikat enthält Informationen über den Schlüssel, Informationen über die Identität seines Besitzers (als Antragsteller bezeichnet) und die digitale Signatur einer Stelle, die den Inhalt des Zertifikats überprüft hat (als Aussteller bezeichnet). Wenn die Signatur gültig ist und die Software, die das Zertifikat überprüft, dem Aussteller vertraut, kann sie diesen Schlüssel verwenden, um sicher mit dem Antragsteller des Zertifikats zu kommunizieren.

Q.I installierte das Zertifikat, warum funktioniert nicht?

A.Dies kann aus vielen Gründen der Fall sein:

1. Zertifikat und Vertrauenspunkt sind konfiguriert, wurden jedoch nicht an den Prozess gebunden.  Beispiel: keine Konfiguration des Vertrauenspunkts für die externe Schnittstelle zur Verwendung für AnyConnect.

2. Eine pkcs12-Datei ist installiert, es werden jedoch Fehler angezeigt, da das Root-Zertifikat nicht in der pkcs12-Datei enthalten ist.

3. Das Zertifikat kann während eines Prozesses fehlschlagen, weil es nicht die richtigen Parameter hat.  Wenn Sie beispielsweise einen VPN-Tunnel einrichten, schlägt das Zertifikat fehl, da der ausstellende Signierer (Root-Zertifikat) nicht identisch ist.  Daher wird dem Cert nicht vertraut.

Frage: Kann die Installation eines neuen Zertifikats ein Wartungsfenster erfordern oder Ausfallzeiten verursachen?

A.Sie müssen kein Wartungsfenster planen, um ein Zertifikat zu installieren.  Außerdem sind keine Ausfallzeiten erforderlich.

Q.Kann es die Verbindung der Benutzer trennen?

A.Nein, die Benutzer, die aktuell verbunden sind, können in Verbindung bleiben.  Sobald die Verbindung wiederhergestellt ist, können sie das neue Zertifikat verwenden.

F.Wie kann ich eine CSR-Anfrage mit einem Platzhalter erstellen? Oder ein SAN?

A.Derzeit unterstützt die ASA/FTD dies nicht; dieser Prozess kann jedoch mithilfe von OpenSSL durchgeführt werden. Um den CSR- und ID-Schlüssel zu generieren, können Sie die folgenden Befehle ausführen:

openssl genrsa -out id.key 2048

openssl req -out id.csr -key id.key -new

F.Kann sie sofort in Kraft treten?

A.Nein, die Installation des Zertifikats kann nicht dazu führen, dass Anyconnect das neue Zertifikat sofort verwendet.  Sie kann verwendet werden, wenn der Host das nächste Mal eine Verbindung herstellt.

F.Wie kann ich überprüfen, ob die Installation funktioniert hat?

A.Der CLI-Befehl zum Überprüfen: show crypto ca cert <trustpointname>

F.Wie wird PKCS12 aus Identität, CA und Schlüssel generiert?

A.Verwenden von OpenSSL mit dem folgenden Befehl:

openssl pkcs12 -export -out p12.pfx -inkey id.key -in id.crt -certfile ca.crt

Frage: Wie exportiere ich das Zertifikat, um es in einer neuen ASA zu installieren?

Antwort:

- Mit CLI: der CLI-Befehl: crypto can export <trustpointname> pkcs12 <Kennwort

- Mit ASDM:

1. Navigieren Sie zu Configuration > Device Management > Certificate Management > Identity Certificates, und wählen Sie das Identity Certificate aus. Klicken Sie auf Exportieren.

2. Wählen Sie aus, wohin die Datei exportiert werden soll, geben Sie das Exportkennwort an, und klicken Sie auf Zertifikat exportieren.

Das exportierte Zertifikat kann sich auf dem Datenträger befinden. Bitte beachten Sie die Passphrase an einem sicheren Ort, die Datei ist ohne sie nutzlos.

F.Wenn ECDSA-Schlüssel verwendet werden, unterscheidet sich der Prozess zur Erstellung von SSL-Zertifikaten?

A.Der einzige Konfigurationsunterschied besteht im Schritt zur Generierung eines Tastenpaars, bei dem anstelle eines RSA-Tastenpaars ein ECDSA-Tastenpaar generiert werden kann. Die übrigen Schritte bleiben gleich.

F.Muss immer ein neues Schlüsselpaar generiert werden?

A.Der Schritt zum Generieren von Schlüsselpaaren ist optional. Vorhandenes Schlüsselpaar kann verwendet werden, oder im Fall von PKCS12 wird das Schlüsselpaar mit dem Zertifikat importiert. Informationen zur jeweiligen Anmeldungs-/Erneuerungsart finden Sie im Abschnitt Wählen Sie den Key-Pair-Namen aus.

F.Ist es sicher, ein neues Schlüsselpaar für ein neues Identitätszertifikat zu generieren?

A.Der Prozess ist sicher, solange ein neuer Schlüsselpaarname verwendet wird. In diesem Fall werden die alten Schlüsselpaare nicht geändert.

Frage: Muss der Schlüssel erneut generiert werden, wenn eine Firewall ersetzt wird (z. B. RMA)?

A.Die neue Firewall enthält keine Schlüsselpaare auf der alten Firewall.

Die Sicherung der aktuellen Konfiguration enthält nicht die Schlüsselpaare.

Die vollständige Sicherung mit ASDM kann die Schlüsselpaare enthalten.

Die Identitätszertifikate können mithilfe von ASDM oder CLI von einem ASA exportiert werden, bevor ein Fehler auftritt.

Bei einem Failover-Paar werden die Zertifikate und Schlüsselpaare mit dem Befehl "write standby" mit einer Standby-Einheit synchronisiert. Wenn ein Knoten des Failover-Paars ersetzt wird, reicht es aus, das grundlegende Failover zu konfigurieren und die Konfiguration auf das neue Gerät zu übertragen.

Wenn ein Schlüsselpaar mit dem Gerät verloren geht und es keine Sicherung gibt, muss ein neues Zertifikat signiert werden, wobei das Schlüsselpaar auf dem neuen Gerät vorhanden ist.