Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Diagrama de la red

Convenciones

Generar y exportar el par de claves RSA para el servidor de certificados

Exportar el par de claves generado

Verificar el par de claves generado

Habilitar el servidor HTTP en el router

Habilitar y configurar el servidor de la CA en el router

Configuración e inscripción en el concentrador Cisco VPN 3000

Verificación

Troubleshoot

Información Relacionada

Introducción

Este documento describe cómo configurar un router Cisco IOS® como servidor de Autoridad de Certificación (CA). Además, ilustra cómo inscribir un Cisco VPN 3000 Concentrator en el router Cisco IOS para obtener un certificado raíz e ID para la autenticación IPSec.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Cisco 2600 Series Router que ejecuta Cisco IOS Software Release 12.3(4)T3

- Concentrador VPN 3030 de Cisco versión 4.1.2

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Diagrama de la red

En este documento, se utiliza esta configuración de red:

Convenciones

Para obtener más información sobre las convenciones del documento, consulte Convenciones de Consejos Técnicos de Cisco.

Generar y exportar el par de claves RSA para el servidor de certificados

El primer paso es generar el par de llaves RSA que utiliza el servidor de CA de Cisco IOS. En el router (R1), genere las claves RSA como se muestra aquí:

R1(config)#crypto key generate rsa general-keys label cisco1 exportable

The name for the keys will be: cisco1

Choose the size of the key modulus in the range of 360 to 2048 for your

General Purpose Keys. Choosing a key modulus greater than 512 may take

a few minutes.

How many bits in the modulus [512]:

% Generating 512 bit RSA keys ...[OK]

R1(config)#

*Jan 22 09:51:46.116: %SSH-5-ENABLED: SSH 1.99 has been enabled

Nota: Debe utilizar el mismo nombre para el par de claves (key-label) que planea utilizar para el servidor de certificados (a través del comando crypto pki server cs-label cubierto más adelante).

Exportar el par de claves generado

A continuación, las claves deben exportarse a la memoria RAM no volátil (NVRAM) o TFTP (según su configuración). En este ejemplo, se utiliza NVRAM. Según su implementación, es posible que desee utilizar un servidor TFTP independiente para almacenar la información del certificado.

R1(config)#crypto key export rsa cisco1 pem url nvram: 3des cisco123

% Key name: cisco1

Usage: General Purpose Key

Exporting public key...

Destination filename [cisco1.pub]?

Writing file to nvram:cisco1.pub

Exporting private key...

Destination filename [cisco1.prv]?

Writing file to nvram:cisco1.prv

R1(config)#

Si utiliza un servidor TFTP, puede volver a importar el par de claves generado como se ve aquí:

crypto key import rsa key-label pem [usage-keys] {terminal | url url} [exportable] passphrase

Nota: Si no desea que la clave se pueda exportar desde el servidor de certificados, vuelva a importarla al servidor de certificados después de exportarla como un par de claves no exportables. Por lo tanto, la clave no se puede quitar de nuevo.

Verificar el par de claves generado

Puede verificar el par de claves generado invocando el comando show crypto key mypubkey rsa:

La herramienta Output Interpreter (sólo para clientes registrados) permite utilizar algunos comandos “show” y ver un análisis del resultado de estos comandos.

R1#show crypto key mypubkey rsa

% Key pair was generated at: 09:51:45 UTC Jan 22 2004

Key name: cisco1

Usage: General Purpose Key

Key is exportable.

Key Data:

305C300D 06092A86 4886F70D 01010105 00034B00 30480241 00CC2DC8 ED26163A

B3642376 FAA91C2F 93A3825B 3ABE6A55 C9DD3E83 F7B2BD56 126E0F11 50552843

7F7CA4DA 3EC3E2CE 0F42BD6F 4C585385 3C43FF1E 04330AE3 37020301 0001

% Key pair was generated at: 09:51:54 UTC Jan 22 2004

Key name: cisco1.server

Usage: Encryption Key

Key is exportable.

Key Data:

307C300D 06092A86 4886F70D 01010105 00036B00 30680261 00EC5578 025D3066

72149A35 32224BC4 3E41DD68 38B08D39 93A1AA43 B353F112 1E56DA42 49741698

EBD02905 FE4EC392 7174EEBF D82B4475 2A2D7DEC 83E277F8 AEC590BE 124E00E1

C1607433 5C7BC549 D532D18C DD0B7AE3 AECDDE9C 07AD84DD 89020301 0001

Habilitar el servidor HTTP en el router

El servidor de la CA de Cisco IOS solo admite las inscripciones realizadas mediante el protocolo simple de inscripción de certificados (SCEP). En consecuencia, para hacer esto posible, el router debe ejecutar el servidor HTTP integrado de Cisco IOS. Para habilitarlo, utilice el comando ip http server:

R1(config)#ip http server

Habilitar y configurar el servidor de la CA en el router

Siga este procedimiento.

1. Es muy importante recordar que el servidor de certificados debe utilizar el mismo nombre que el par de claves que acaba de generar manualmente. La etiqueta coincide con la etiqueta del par de claves generado:

R1(config)#crypto pki server cisco1

Después de haber habilitado un servidor de certificados, puede utilizar los valores predeterminados preconfigurados o especificar valores a través de CLI para la funcionalidad del servidor de certificados.

2. El comando database url especifica la ubicación donde se escriben todas las entradas de base de datos para el servidor de la CA.

Si no se especifica este comando, todas las entradas de la base de datos se escriben en Flash.

R1(cs-server)#database url nvram:

Nota: Si utiliza un servidor TFTP, la URL debe ser tftp://<ip_address>/directory.

3. Configure el nivel de base de datos:

R1(cs-server)#database level minimum

Este comando controla el tipo de datos almacenados en la base de datos de inscripción de certificados.

- Mínimo: la información suficiente se almacena sólo para continuar emitiendo nuevos certificados sin conflicto; el valor predeterminado.

- Nombres: además de la información proporcionada en el nivel mínimo, el número de serie y el nombre del asunto de cada certificado.

- Completo: además de la información proporcionada en los niveles mínimo y de nombres, cada certificado emitido se escribe en la base de datos.

Nota: La palabra clave complete produce una gran cantidad de información. Si se ejecuta, también necesita especificar un servidor TFTP externo en el cual almacenar los datos a través del comando database url.

4. Configure el nombre del emisor de CA en la cadena DN especificada. En este ejemplo, se utiliza el CN (Nombre común) de cisco1.cisco.com, L (Localidad) de RTP y C (País) de US:

R1(cs-server)#issuer-name CN=cisco1.cisco.com L=RTP C=US

5. Especifique la duración, en días, de un certificado de CA o de un certificado.

Los valores válidos van de 1 día a 1825 días. La duración predeterminada del certificado de CA es de 3 años y la duración predeterminada del certificado es 1 año. La duración máxima del certificado es 1 mes menos que la duración del certificado de CA. Por ejemplo:

R1(cs-server)#lifetime ca-certificate 365

R1(cs-server)#lifetime certificate 200

6. Defina la duración, en horas, de la CRL que utiliza el servidor de certificados. El valor máximo de vida es 336 horas (2 semanas). El valor predeterminado es 168 horas (1 semana).

R1(cs-server)#lifetime crl 24

7. Defina un punto de distribución de lista de revocación de certificados (CDP) que se utilizará en los certificados emitidos por el servidor de certificados. La URL debe ser una URL HTTP.

Por ejemplo, la dirección IP de nuestro servidor es 172.18.108.26.

R1(cs-server)#cdp-url http://172.18.108.26/cisco1cdp.cisco1.crl

8. Habilite el servidor de la CA ejecutando el comando no shutdown.

R1(cs-server)#no shutdown

Nota: Ejecute este comando sólo después de haber configurado completamente su servidor de certificados.

Configuración e inscripción en el concentrador Cisco VPN 3000

Siga este procedimiento.

1. Seleccione Administration > Certificate Management y elija Click here to install a CA certificate para recuperar el certificado raíz del servidor de CA de Cisco IOS.

2. Seleccione SCEP como método de instalación.

3. Ingrese la URL del servidor de la CA de Cisco IOS, un descriptor de la CA, y haga clic en Recuperar.

Nota: La dirección URL correcta en este ejemplo es http://14.38.99.99/cgi-bin/pkiclient.exe (debe incluir la ruta de acceso completa de /cgi-bin/pkiclient.exe).

Seleccione Administration > Certificate Management para verificar que se ha instalado el certificado raíz. Esta figura ilustra los detalles del certificado raíz.

4. Seleccione Haga clic aquí para inscribirse con una Autoridad de Certificación para obtener el certificado de ID del servidor de CA de Cisco IOS.

5. Seleccione Inscribirse a través de SCEP en cisco1.cisco.com ( cisco1.cisco.com es el CN del servidor de CA de Cisco IOS).

6. Complete el formulario de inscripción introduciendo toda la información que se incluirá en la solicitud de certificado.

Después de completar el formulario, haga clic en Inscribirse para iniciar la solicitud de inscripción en el servidor de la CA.

Después de hacer clic en Inscribirse, el concentrador VPN 3000 muestra "Se ha generado una solicitud de certificado".

Nota: El servidor CA de Cisco IOS se puede configurar para conceder automáticamente los certificados con el subcomando Cisco IOS CA Server Grant Automatic. Este comando se utiliza para este ejemplo. Para ver los detalles del certificado de ID, seleccione Administration > Certificate Management. El certificado mostrado es similar a este.

Verificación

Vea la sección Verificar el Par de Llaves Generadas para obtener información de verificación.

Troubleshoot

Para obtener información sobre la resolución de problemas, consulte Resolución de problemas de conexión en el concentrador VPN 3000 o Resolución de problemas de seguridad IP - Introducción y uso de los comandos debug.

Información Relacionada

- Página de soporte del concentrador de la serie Cisco VPN 3000

- Página de soporte al cliente Serie Cisco VPN 3000

- Página de soporte de IPSec

- Soporte Técnico - Cisco Systems