Este documento describe cómo configurar los mapas de encripción basados en Nombres distinguidos (DN) con el objeto de proporcionar control de acceso de modo que un dispositivo VPN pueda establecer túneles VPN con un router del IOS® de Cisco. En el ejemplo de este documento, la firma Rivest, Shamir y Adelman (RSA) es el método para la autenticación IKE. Además de la validación de certificados estándar, los mapas de criptografía basados en DN intentan hacer coincidir la identidad ISAKMP del par con ciertos campos de sus certificados, como el nombre distintivo X.500 o el nombre del dominio aprobado (FQDN).
Esta característica primero fue introducida en el Cisco IOS Software Release 12.2(4)T. Usted debe esta versión o más adelante para esta configuración.
El Cisco IOS Software Release 12.3(5) también fue probado. Sin embargo, el DN basó fallada las correspondencias de criptografía debido al Id. de bug Cisco CSCed45783 (clientes registrados solamente).
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
Routers Cisco 7200
Versión de software del IOS de Cisco 12.2(4)T1 c7200-ik8o3s-mz.122-4.T1
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.
Para obtener más información sobre las convenciones del documento, consulte Convenciones de Consejos Técnicos de Cisco.
Previamente, durante la autenticación IKE usando el método de firma RSA, y después de la validación de la certificación y del Listas de revocación de certificados (CRL) opcional que marcaban, el Cisco IOS continuó la negociación del Quick Mode IKE. No proporcionó un método para evitar que los dispositivos VPN remotos comuniquen con ninguna interfaces encriptadas, con excepción de las restricciones en la dirección IP del par que cifraba.
Ahora con correspondencia de criptografía basada en DN, el Cisco IOS puede restringir a los pares remotos VPN para acceder solamente las interfaces seleccionadas con los Certificados específicos. Particularmente, Certificados con ciertos DN o FQDN.
En esta sección encontrará la información para configurar las funciones descritas en este documento.
Este documento utiliza la configuración de red que se muestra en el siguiente diagrama.
Este documento usa las configuraciones detalladas aquí.
En este ejemplo, una configuración de la red simple se utiliza para demostrar la característica. El router SJhub tiene dos certificados de identidad, uno de la autoridad certificadora Entrust (CA) y otro de Microsoft CA. Vea la información relacionada