Comprensión de los tipos de certificado y de punto de confianza en el WLC 9800

Introducción

Este documento describe los diferentes tipos de certificados y puntos de confianza que se pueden utilizar en el WLC 9800.

---

Prerequisites

Requirements

Cisco recomienda que tenga conocimientos básicos sobre:

• Cisco Wireless LAN Controller (WLC) serie 9800
• Certificados digitales, autoridades de certificación (CA) y la infraestructura de clave pública (PKI)

---

Componentes Utilizados

Este documento no se limita a versiones específicas de hardware o software.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

---

Certificados

¿Qué es un certificado?

Un certificado es un documento único que identifica un dispositivo para garantizar su legitimidad. Una autoridad de certificación (CA) debe verificar un certificado para validar la identidad.

---

Tipos de certificados en el 9800

Los puntos de acceso (AP) y el WLC requieren una manera de validar cada identidad. Cuando un nuevo AP se une al WLC, el AP valida el certificado del WLCs para asegurarse de que no es solamente legítimo, pero sigue siendo válido. De esta manera, los AP pueden confiar en el dispositivo al que se unen por primera vez.

---

Certificado instalado por el fabricante (MIC)

Este certificado se instala de forma predeterminada en los dispositivos físicos, como el 9800-80, 9800-40 y el 9800-L. Como su nombre indica, está instalado de fábrica y no se puede modificar. Este certificado se utiliza cuando el AP se une por primera vez al WLC.

---

Para verificar si un certificado MIC está instalado en el 9800, puede ejecutar el comando show wireless management trustpoint.

9800#show wireless management trustpoint
Trustpoint Name  : CISCO_IDEVID_SUDI
Certificate Info : Available
Certificate Type : MIC <-- Private key Info : Available
FIPS suitability : Not Applicable  

---

Certificado de firma automática (SSC)

Para la instancia virtual del controlador, la 9800-CL, no hay ningún certificado instalado de fábrica. Utiliza un certificado autofirmado que se puede generar automáticamente mediante el asistente de día 0 o mediante una secuencia de comandos en la que el certificado se crea manualmente. En la instancia virtual del 9800, el SSC se utiliza principalmente para la unión de AP, pero también para todos los servicios HTTP(s), SSH y NETCONF.

---

Los appliances físicos también contienen un SSC; sin embargo, como se indicó anteriormente, no se utiliza para la unión de AP, sino para los servicios. Para verificar el certificado de SSC en el 9800, ejecute el comando show wireless management trustpoint.

9800#show wireless management trustpoint
Trustpoint Name  : 9800-CL-TRUSTPOINT
Certificate Info : Available
Certificate Type : SSC <-- 
Certificate Hash : e55e61b683181ff0999ef317bb5ec7950ab86c9e
Private key Info : Available
FIPS suitability : Not Applicable 

---

Certificado de importancia local (LSC)

Estos certificados son utilizados solamente por los AP que deben probar su identidad al WLC. No existen de forma predeterminada en el WLC o los AP. Los certificados LSC deben estar firmados por una CA y posteriormente instalados en el WLC y los AP para que se validen mutuamente. Para obtener más información sobre cómo configurar los LSC en el 9800, consulte Certificados Significativos Localmente.

---

Puntos de confianza

¿Qué es un punto de confianza?

Un punto de confianza vincula un certificado a un servicio específico. Hay dos tipos principales de puntos de confianza; administración web y autenticación web. De forma predeterminada, el WLC utiliza el certificado autofirmado para ambos servicios, sin embargo, esto hace que aparezca un mensaje de advertencia que indica que el sitio no es seguro. Esto se debe a que el certificado autofirmado no ha sido validado por una CA.

---

Mensaje de advertencia de CA no válida en la página web

---

Para evitarlo, se puede utilizar un certificado de terceros para asegurarse de que ha sido validado por una CA. Para obtener más información sobre cómo generar y cargar un certificado en el WLC, consulte Generar y descargar certificado CSR en WLC Catalyst 9800.

---

Administración web

El punto de confianza para la administración web vincula el certificado a la interfaz gráfica de usuario (GUI). El controlador selecciona uno de sus certificados disponibles y, si no hay ningún certificado personalizado cargado en el WLC, se utiliza el certificado autofirmado. Si no desea utilizar el certificado predeterminado, puede utilizar un certificado personalizado para el punto de confianza.

---

Una vez que el certificado se ha cargado en el 9800, según el documento anterior, el siguiente paso es vincular el punto de confianza a la administración web. Ejecutar siguiente comando:

configure terminal
ip http secure-trustpoint <custom-cert>.pfx
!Restart HTTP services
no ip http secure services
ip http secure services
end 
write

---

Una forma de validar el certificado recién instalado se utiliza ahora como punto de confianza para los servicios HTTP. Por ejemplo, ejecute el comando show ip http server status | include trustpoint:

9800#show ip http server status | include trustpoint
HTTP secure server trustpoint: <trustpoint>.pfx <-- trustpoint configured for HTTP services
HTTP secure server peer validation trustpoint: 

---

Autenticación Web

Al igual que la administración web, la autenticación de capa 3 también se puede utilizar en el 9800. Este punto de confianza vincula un certificado a un portal web que se muestra a un usuario cuando intenta autenticarse en una WLAN a través de un portal de invitados que se presenta automáticamente al usuario. El uso de un punto de confianza para la autenticación Web protege las credenciales del usuario entre el WLC y el cliente se está conectando a.

---

De forma predeterminada, el WLC utiliza el certificado autofirmado. De nuevo, esto hace que aparezca un mensaje de advertencia al cliente que indica que la página web no es de confianza. Para evitar esto, se puede utilizar un certificado de terceros como la administración web.

---

De manera similar a la administración web, una vez que el certificado personalizado se carga en el WLC, se debe vincular al mapa de parámetros web como punto de confianza.

configure terminal
parameter-map type webauth global
trustpoint <custom-cert>
!Restart HTTP services
no ip http secure services
ip http secure services
end
write

---

Para validar el punto de confianza utilizado para la autenticación Web, ejecute el siguiente comando:

show run | section parameter-map type webauth global
parameter-map type webauth global
type webauth
virtual-ip ipv4 192.0.2.1
trustpoint <custom-trustpoint> <-- trustpoint configured for web authentication

---

Renovación automática de certificados

La tendencia es tener siempre períodos de duración más cortos en los certificados por motivos de seguridad. Esto puede llevar a un mantenimiento adicional en la renovación periódica de certificados. Los certificados AP y WLC se pueden renovar automáticamente usando SCEP o EST (vea las guías relevantes en la sección de referencia).

---

Información Relacionada

• Certificados de significación local
• Generar y descargar certificado CSR en WLC Catalyst 9800
• Configuración de puntos de confianza en 9800 
• Renovación automática de certificados con EST en 9800 
• Configuración de LSC para 802.1X en puntos de acceso 

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	04-Aug-2026	Ortografía actualizada, gramática insertada líneas horizontales para separar secciones/legibilidad, URL fijas.
1.0	06-Oct-2023	Versión inicial