Informationen zum Zertifikat für die Erstellung einer Kette für den 9800 WLC

Einleitung

In diesem Dokument wird beschrieben, wie Sie ein Zertifikat mit bekannten Online-Tools entschlüsseln und interpretieren, um eine Zertifikatskette im 9800 WLC zu erstellen.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Grundkenntnisse in diesen Themen verfügen:

• Cisco Catalyst Wireless LAN Controller (WLC) der Serie 9800
• Digitales Zertifikat, CSR-Konzept (Certificate Signing Request)
• OpenSSL-Software.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• OpenSSL-Software in Version 1.1.1w
• Windows-Computer

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

CSR-Generierung

Der CSR kann im Controller oder mit OpenSSL erzeugt werden. 

Um einen CSR im 9800 WLC zu generieren, navigieren Sie zu Configuration > Security > PKI Management > Add Certificate > Generate Certificate Signing Request.

Wenn eine Zertifikatsignierungsanforderung generiert wird, sind Informationen wie ein privater Schlüssel, ein allgemeiner Name (CN), der Ländercode, der Staat, der Standort, die Organisation und die Organisationseinheit erforderlich.

CSR-Generierung in WLC

Alle in der Anforderung eingegebenen CSR-Informationen werden in der Dekodierung angezeigt.

OpenSSL-Software ist die einzige Quelle der Wahrheit, wenn ein Zertifikat decodiert wird. Es zeigt alle Informationen darüber an.

Um ein Zertifikat auf einem Windows- oder MacBook-Computer zu decodieren, auf dem OpenSSL installiert ist, öffnen Sie die Eingabeaufforderung als Administrator, und führen Sie den Befehl openssl x509 -in <certificate.crt> -text -noout aus. Die Ausgabe wird als Konsoleninformation angezeigt.

Es gibt andere Online-Tools zum Decodieren von Zertifikaten, die die Ausgabe auf eine benutzerfreundlichere Weise zeigen, wie CertLogik und SSL Shopper, die in diesem Dokument nicht vorgestellt werden.

Beachten Sie, dass sie den gleichen OpenSSL-Befehl verwenden, der bereits erwähnt wurde, um die Zertifikate zu decodieren.

Zertifikat von Drittanbietern

Der CSR wird zur Signatur und Rücksendung an die Zertifizierungsstelle (Certificate Authority, CA) gesendet. Laden Sie die gesamte Zertifikatskette herunter, sodass Sie sie auf den WLC hochladen können.

Um die Kette eines Zertifikats zu verstehen, können alle von CA empfangenen Dateien decodiert werden. Stellen Sie sicher, dass sie im Base64-Format vorliegen.

Sie können mehrere Dateien von der Zertifizierungsstelle empfangen. Dies hängt von der Anzahl der Dateien der Zwischen-Zertifizierungsstelle ab.

Um jede Datei zu identifizieren, müssen Sie sie dekodieren.

Wenn ein signiertes Zertifikat decodiert wird, wird der Abschnitt "Aussteller" hinzugefügt. Dies bezieht sich auf die Zertifizierungsstelle, die das Zertifikat signiert hat.

Wenn Sie eine CSR-Datei decodieren, die nicht signiert ist, existiert der Abschnitt Issuer nicht, da er noch nicht signiert ist.

Dies ist ein Beispiel für ein Szenario mit mehrstufiger Autorisierung oder verketteten Zertifikaten:

• Stamm-CA
• Zwischenzertifikat
• Gerätezertifikat

Dekodierte Stammzertifizierungsstelle

Da für eine Stammzertifizierungsstelle die höchste Autorität der Kette ist, müssen Emittent und Betreff identisch sein.

Dekodierte Stammzertifizierungsstelle

Dekodierte Zwischenzertifizierungsstelle

Da die Zwischen-CA von der Stamm-CA signiert wird, muss der Aussteller mit der Stamm-CA-CN übereinstimmen.

Dekodierte Zwischenzertifizierungsstelle

Dekodiertes Gerätezertifikat

Da das Gerätezertifikat von der zwischengeschalteten Zertifizierungsstelle signiert wird, muss der Aussteller mit der CN der zwischengeschalteten Zertifizierungsstelle übereinstimmen

Dekodiertes Gerätezertifikat

Verwenden Sie in einem Szenario, in dem mehr als eine zwischengeschaltete Zertifizierungsstelle verwendet wird, denselben Decodierungsprozess.

Sobald die Reihenfolge der Kette festgelegt ist, kann sie in den Controller geladen werden.

Der 9800 WLC benötigt die gesamte Kette in der richtigen Reihenfolge, damit das Zertifikat ordnungsgemäß funktioniert.

Weitere Informationen zum Hochladen eines Zertifikats auf den Controller finden Sie unter Generate and Download CSR Certificates on Catalyst 9800 WLCs.

Stellen Sie sicher, dass Sie den Decodiervorgang verstehen, bevor Sie fortfahren. In diesem Fall müssen die nächsten Schritte ausgeführt werden, damit ein Web Auth-, Web Admin- oder Management-Zertifikat in einen 9800 WLC hochgeladen wird.