Este documento describe cómo configurar los mapas de encripción basados en Nombres distinguidos (DN) con el objeto de proporcionar control de acceso de modo que un dispositivo VPN pueda establecer túneles VPN con un router del IOS® de Cisco. En el ejemplo de este documento, la firma Rivest, Shamir y Adelman (RSA) es el método para la autenticación IKE. Además de la validación de certificados estándar, los mapas de criptografía basados en DN intentan hacer coincidir la identidad ISAKMP del par con ciertos campos de sus certificados, como el nombre distintivo X.500 o el nombre del dominio aprobado (FQDN).
Esta función se introdujo por primera vez en la versión 12.2(4)T del software del IOS de Cisco. Debe tener esta versión o posterior para esta configuración.
También se probó la versión 12.3(5) del software del IOS de Cisco. Sin embargo, los mapas de criptografía basados en DN fallaron debido al ID de bug de Cisco CSCed45783 (sólo clientes registrados) .
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
Routers Cisco 7200
Versión de software del IOS de Cisco 12.2(4)T1 c7200-ik8o3s-mz.122-4.T1
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.
Para obtener más información sobre las convenciones del documento, consulte Convenciones de Consejos Técnicos de Cisco.
Anteriormente, durante la autenticación IKE mediante el método de firma RSA y después de la validación de la certificación y la comprobación de la lista de revocación de certificados (CRL) opcional, Cisco IOS continuó la negociación del modo rápido IKE. No proporcionó un método para evitar que los dispositivos VPN remotos se comunicaran con ninguna interfaz cifrada, excepto las restricciones en la dirección IP del par de cifrado.
Ahora con el mapa criptográfico basado en DN, Cisco IOS puede restringir que los peers VPN remotos sólo accedan a interfaces seleccionadas con certificados específicos. En particular, certificados con determinados DN o FQDN.
En esta sección encontrará la información para configurar las funciones descritas en este documento.
Este documento utiliza la configuración de red que se muestra en el siguiente diagrama.
Este documento usa las configuraciones detalladas aquí.
En este ejemplo, se utiliza una configuración de red simple para demostrar la función. El router SJhub tiene dos certificados de identidad, uno de la autoridad certificadora Entrust (CA) y otro de Microsoft CA. Consulte Información relacionada.