Table des matières

Introduction

Conditions préalables

Exigences

Composants utilisés

Informations générales

Considérations relatives à la sécurité CA approuvée

Risques et recommandations liés à l'authentification des certificats

Comportement par défaut de validation de point de confiance-utilisation

Risques de configuration par défaut

Action recommandée

Exemple de configuration

Autorisation Risques et recommandations

Action recommandée

Exemple de configuration

Ressources supplémentaires

Installation du certificat

Inscription de certificat auto-signée

Inscription par demande de signature de certificat (CSR)

Inscription PKCS12

Renouvellement du certificat

Renouveler le certificat auto-signé

Renouveler le certificat inscrit avec une demande de signature de certificat (CSR)

Renouvellement PKCS12

Informations connexes

Introduction

Ce document décrit comment demander, installer, approuver et renouveler certains types de certificats sur le logiciel Cisco ASA géré avec CLI.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

- Vérifiez que l'appliance ASA (Adaptive Security Appliance) dispose de l'heure, de la date et du fuseau horaire corrects. Avec l'authentification de certificat, il est recommandé d'utiliser un serveur NTP (Network Time Protocol) pour synchroniser l'heure sur l'ASA. Consultez Informations connexes pour référence.

- Pour demander un certificat qui utilise une demande de signature de certificat (CSR), il nécessite l'accès à une autorité de certification (CA) interne ou tierce de confiance. Les exemples de fournisseurs CA tiers incluent, sans s'y limiter, Entrust, Geotrust, GoDaddy, Thawte et VeriSign.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- ASAv 9.18.1

- Pour la création de PKCS12, OpenSSL est utilisé.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Les types de certificats auxquels ce document s'adresse sont des certificats auto-signés, des certificats signés par une autorité de certification tierce ou une autorité de certification interne, sur le logiciel Cisco Adaptive Security Appliance géré avec l'interface de ligne de commande (CLI).

Considérations relatives à la sécurité CA approuvée

Risques et recommandations liés à l'authentification des certificats

Comportement par défaut de validation de point de confiance-utilisation

Lorsqu'un certificat d'autorité de certification approuvée est installé, avec crypto ca trustpoint authenticate,elle peut être utilisé pour authentifier différents types de connexions VPN à l'aide de l'authentification de certificat. Elle est contrôlée par la commande validation-usage trustpoint. Les types d'utilisation de validation sont :

- ipsec-client : Valide les connexions client IPsec.

- ssl-client : Valide les connexions client SSL.

- ssl-server : Valide les certificats de serveur SSL.

Par défaut, la commande permet la validation pour ipsec-client et ssl-client.

Risques de configuration par défaut

- Tout certificat d'autorité de certification installé en tant que certificat approuvé peut être utilisé par défaut pour authentifier les certificats d'identité client entrants pour tout groupe de tunnels utilisant l'authentification de certificat.

- Ce paramètre par défaut peut constituer un risque de sécurité si vous ne le connaissez pas.

Action recommandée

Désactivez l'utilisation de validation pour les points de confiance non intentionnels. Si un certificat d'autorité de certification n'est pas destiné à authentifier des homologues ou des utilisateurs VPN, désactivez la validation-utilisation pour ce point de confiance.

Exemple de configuration

trustpoint public-root-ca

no validation-usage

Autorisation Risques et recommandations

Par défaut, un certificat CA approuvé peut être utilisé pour authentifier l'homologue ou l'utilisateur VPN se connectant à n'importe quel groupe de tunnels. Une autorisation appropriée doit être conçue.

Action recommandée

Utilisez des mappages de certificats et des mappages de groupes de tunnels pour vous assurer que seuls les certificats autorisés sont utilisés pour des groupes de tunnels spécifiques. Définissez une règle de mappage de groupe de tunnels par défaut, qui pointe vers un groupe de tunnels sans accès pour limiter les accès non autorisés.

Exemple de configuration

L'authentification de certificat est uniquement autorisée pour :

- Machines avec certificat émis par cn=example.com et ayant OU=machines dans l'objet de certificat.

- Utilisateurs avec certificat émis par cn=example.com et ayant OU=users dans l'objet du certificat.

Les utilisateurs avec d'autres certificats sont assignés à no_access tunnel-group par défaut, grâce à la tunnel-group-map default-group no_access commande. Les règles de mappage de certificat ont la priorité sur group-url grâce à la tunnel-group-map enable rules commande. Connaître group-url n'aide pas à contourner les règles de mappage de certificat.

! Configure group-policy preventing VPN access:

group-policy no_access_gp internal

group-policy no_access_gp attributes

banner value NO ACCESS GROUP POLICY

(...)

vpn-simultaneous-logins 0

!

! Configure tunnel-groups for users:

tunnel-group mgmt-tunnel type remote-access

tunnel-group mgmt-tunnel general-attributes

address-pool vpn_pool

default-group-policy mgmt-tunnel

tunnel-group mgmt-tunnel webvpn-attributes

authentication certificate

group-url https://ftd.example.com/mgmt enable

!

tunnel-group users_access type remote-access

tunnel-group users_access general-attributes

default-group-policy user_access_gp

address-pool vpn_pool

tunnel-group users_access webvpn-attributes

authentication certificate

group-url https://ftd.example.com/users enable

!

! Configure tunnel-group preventing VPN access:

tunnel-group no_access type remote-access

tunnel-group no_access general-attributes

default-group-policy no_access_gp

address-pool vpn_pool

tunnel-group no_access webvpn-attributes

authentication certificate

!

! Create certificate maps to map incoming connections to tunnel-groups, for client identity certificate authentication.

! Certificate maps can be used both for SSLVPN and IKEv2 connections.

crypto ca certificate map mgmt_tunnel_map 10

issuer-name attr cn eq example.com

subject-name attr ou eq machines

!

crypto ca certificate map users_access_map 10

issuer-name attr cn eq example.com

subject-name attr ou eq users

!

! Configure ASA to use the certificate maps for tunnel-group mapping for incoming SSLVPN connections with client identity certificate authentication:

webvpn

(...)

certificate-group-map mgmt_tunnel_map 10 mgmt-tunnel

certificate-group-map users_access_map 10 users_access

!

! Configure ASA to use the certificate maps for tunnel-group mapping for incoming IKEv2 connections with client identity certificate authentication:

tunnel-group-map enable rules

! Set the default tunnel-group for incoming IKEv2 connection if a client identity certificate does not match any certificate map;

! This last resort tunnel-group is preventing access.

tunnel-group-map default-group no_access

!

Ressources supplémentaires

Pour obtenir des instructions de configuration plus détaillées, reportez-vous à la documentation Cisco :

- Configuration de l'utilisation de la validation - Référence des commandes de la gamme Cisco Secure Firewall ASA, commandes T - Z

- Configuration du plan de certificat - Référence des commandes de la gamme Cisco Secure Firewall ASA, commandes T - Z

- Configuration de la carte de groupe de tunnels - Référence des commandes de la gamme Cisco Secure Firewall ASA, commandes T - Z

- Configuration de l'activation de la carte de groupe de tunnels - Référence des commandes de la gamme Cisco Secure Firewall ASA, commandes T - Z

- Paramètres de configuration par défaut des logiciels Cisco ASA et FTD Trustpoint

Installation du certificat

Inscription de certificat auto-signée

1. (Facultatif) Créez une paire de clés nommée avec une taille de clé spécifique.
Remarque : Par défaut, la clé RSA avec le nom Default-RSA-Key et une taille de 2048 est utilisée ; cependant, il est recommandé d'utiliser un nom unique pour chaque certificat afin qu'ils n'utilisent pas la même paire de clés privée/publique.

ASAv(config)# crypto key generate rsa label SELF-SIGNED-KEYPAIR modulus 2048

INFO: The name for the keys will be: SELF-SIGNED-KEYPAIR

Keypair generation process begin. Please wait...

La paire de clés générée est visible à l'aide de la commande show crypto key mypubkey rsa.

ASAv# show crypto key mypubkey rsa

(...)

Key pair was generated at: 14:52:49 CEDT Jul 15 2022

Key name: SELF-SIGNED-KEYPAIR

Usage: General Purpose Key

Key Size (bits): 2048

Storage: config

Key Data:

30820122 300d0609 2a864886 f70d0101 01050003 82010f00 3082010a 02820101

...

59dcd7d7 c3ee77f5 bbd0988d 515e390e b8d95177 dfaf6b94 a9df474b 1ec3b4a4

af020301 0001

2. Créez un point de confiance avec un nom spécifique. Configurez le type d'inscription self.
ASAv(config)# crypto ca trustpoint SELF-SIGNED

ASAv(config-ca-trustpoint)# enrollment self

3. Configurez le nom de domaine complet (FQDN) et le nom du sujet.
Mise en garde : Le paramètre FQDN doit correspondre au FQDN ou à l'adresse IP de l'interface ASA pour laquelle le certificat est utilisé. Ce paramètre définit le nom alternatif du sujet (SAN) pour le certificat.

ASAv(config-ca-trustpoint)# fqdn asavpn.example.com

ASAv(config-ca-trustpoint)# subject-name CN=asavpn.example.com,O=Example Inc,C=US,St=California,L=San Jose

4. (Facultatif) Configurez le nom de la paire de clés créée à l'étape 1. Non requis si la paire de clés par défaut est utilisée.
ASAv(config-ca-trustpoint)# keypair SELF-SIGNED-KEYPAIR

ASAv(config-ca-trustpoint)# exit

5. Inscrivez le point de confiance et générez le certificat.
ASAv(config)# crypto ca enroll SELF-SIGNED

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% The fully-qualified domain name in the certificate will be: asa.example.com

% Include the device serial number in the subject name? [yes/no]: no

Generate Self-Signed Certificate? [yes/no]: yes

ASAv(config)# exit

6. Une fois terminé, le nouveau certificat auto-signé peut être vu avec la commande show crypto ca certificates

.
ASAv# show crypto ca certificates SELF-SIGNED

Certificate

Status: Available

Certificate Serial Number: 62d16084

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Subject Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Validity Date:

start date: 15:00:58 CEDT Jul 15 2022

end date: 15:00:58 CEDT Jul 12 2032

Storage: config

Associated Trustpoints: SELF-SIGNED

Inscription par demande de signature de certificat (CSR)

1. (Facultatif) Créez une paire de clés nommée avec une taille de clé spécifique.
Remarque : Par défaut, la clé RSA avec le nom Default-RSA-Key et une taille de 2048 est utilisée ; cependant, il est recommandé d'utiliser un nom unique pour chaque certificat afin qu'ils n'utilisent pas la même paire de clés privée/publique.

ASAv(config)# crypto key generate rsa label CA-SIGNED-KEYPAIR modulus 2048

INFO: The name for the keys will be: CA-SIGNED-KEYPAIR

Keypair generation process begin. Please wait...

La paire de clés générée est visible à l'aide de la commande show crypto key mypubkey rsa.

ASAv# show crypto key mypubkey rsa

(...)

Key pair was generated at: 14:52:49 CEDT Jul 15 2022

Key name: CA-SIGNED-KEYPAIR

Usage: General Purpose Key

Key Size (bits): 2048

Storage: config

Key Data:

30820122 300d0609 2a864886 f70d0101 01050003 82010f00 3082010a 02820101

...

59dcd7d7 c3ee77f5 bbd0988d 515e390e b8d95177 dfaf6b94 a9df474b 1ec3b4a4

af020301 0001

2. Créez un point de confiance avec un nom spécifique. Configurez le type d'inscription terminal.
ASAv(config)# crypto ca trustpoint CA-SIGNED

ASAv(config-ca-trustpoint)# enrollment terminal

3. Configurez le nom de domaine complet et le nom de sujet. Les paramètres FQDN et Subject CN doivent correspondre au nom de domaine complet ou à l'adresse IP du service pour lequel le certificat est utilisé.
ASAv(config-ca-trustpoint)# fqdn asavpn.example.com

ASAv(config-ca-trustpoint)# subject-name CN=asavpn.example.com,O=Example Inc,C=US,St=California,L=San Jose

4. (Facultatif) Configurez le nom de la paire de clés créée à l'étape 1.
ASAv(config-ca-trustpoint)# keypair CA-SIGNED-KEYPAIR

5. (Facultatif) Configurez la méthode de vérification de la révocation de certificats - avec la liste de révocation de certificats (CRL) ou avec le protocole OCSP (Online Certificate Status Protocol). Par défaut, la vérification de révocation de certificat est désactivée.
ASAv(config-ca-trustpoint)# revocation-check ocsp

6. (Facultatif) Authentifiez le point de confiance et installez le certificat d'autorité de certification qui va signer le certificat d'identité comme étant approuvé. S'il n'est pas installé à cette étape, le certificat CA peut être installé ultérieurement avec le certificat d'identité.
ASAv(config)# crypto ca authenticate CA-SIGNED

Enter the base 64 encoded CA certificate.

End with the word "quit" on a line by itself

ASAv(config)# crypto ca authenticate CA-SIGNED

Enter the base 64 encoded CA certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDXDCCAkSgAwIBAgIIDM/QY/h29+kwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

YS5leGFtcGxlLmNvbTAeFw0xNTAyMDYxNDEwMDBaFw0zMDAyMDYxNDEwMDBaMEUx

CzAJBgNVBAYTAlBMMQ8wDQYDVQQKEwZ3dy12cG4xDDAKBgNVBAsTA2xhYjEXMBUG

A1UEAxMOY2EuZXhhbXBsZS5jb20wggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEK

AoIBAQDI6pth5KFFTB29LynOg9/CTiOGYa+WFTcZXSLHZA6WTUzLYM19IbSFHWa6

gTeBnHqToLRnQoB51QlxEA45ArL2G98aew8BMD08GXkxWayforwLA3U9WZVTZsVN

4noWaXH1boGGD7+5vk0esJfL2B7pEhGodLh7Gki1T4KoqL/lDM9LqkzOctZkCT7f

SkXvFik1Z1cZEGn6b2umnIqaVZ81ewIuTHOX48ls3uxTPH8+B5QG0+d1waOsbCWk

oK5sEPpHZ3IQuVxGiirp/zmomzxl4G/tel6eyMOpjpnVtDYjQ9HNkQdQT5LKwRsX

Oj9xKnYCbPfg3p2FdH7wJh1lK3prAgMBAAGjUDBOMAwGA1UdEwQFMAMBAf8wHQYD

VR0OBBYEFE55kZsbra9b9tLFV52U47em9uXaMB8GA1UdIwQYMBaAFE55kZsbra9b

9tLFV52U47em9uXaMA0GCSqGSIb3DQEBCwUAA4IBAQArsXlFwK3jlNBwOsYh5mqT

cGqeyDMRhs3Rs/wD25M2wkAF4AYZHgN9gK9VCK+ModKMQZy4X/uhj65NDU7oFf6f

z9kqaRijsx153jV/YLk8E9oAIatnA/fQfX6V+h74yqucfF1js3d1FjyV14odRPwM

0jRyjalH56BFlackNc7KRddtVxYB9sfEbFhN8odlBvnUedxGAJFHqxEQKmBE+h4w

gW8YnHOvM08svyTXSLlJf0UCdmAY+lG0gqhUlSlkFBtLRt6Z2uCot00NoMHI0hh5

dcVcovOi/PAxnrAlJ+Ng2jrWFN3MXWZO4S3CHYMGkWqHkaHChlqDOx9badgfsyzz

-----END CERTIFICATE-----

quit

INFO: Certificate has these attributes:

Fingerprint: e9ad165c 2673424c 6e7e0c5f b30b4a02

Do you accept this certificate? [yes/no]: yes

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

Trustpoint CA certificate accepted.

% Certificate successfully imported

7. Inscrivez le certificat et générez un CSR qui peut être copié et envoyé à une autorité de certification pour signature. Le CSR inclut la clé publique de la paire de clés utilisée par trustpoint. Le certificat signé ne peut être utilisé que par les périphériques disposant de cette paire de clés.
Remarque :   L'autorité de certification peut modifier les paramètres FQDN et Subject Name définis dans le point de confiance lors de la signature du CSR et de la création du certificat d'identité signé.

ASAv(config)# crypto ca enroll CA-SIGNED

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% Start certificate enrollment ..

% The subject name in the certificate will be: CN=asavpn.example.com,O=Example Inc,C=US,St=California,L=San Jose

% The fully-qualified domain name in the certificate will be: asavpn.example.com

% Include the device serial number in the subject name? [yes/no]: no

Display Certificate Request to terminal? [yes/no]: yes

Certificate Request follows:

-----BEGIN CERTIFICATE REQUEST-----

MIIDHzCCAgcCAQAwgYsxGzAZBgNVBAMMEmFzYXZwbi5leGFtcGxlLmNvbTEUMBIG

A1UECgwLRXhhbXBsZSBJbmMxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9y

bmlhMREwDwYDVQQHDAhTYW4gSm9zZTEhMB8GCSqGSIb3DQEJAgwSYXNhdnBuLmV4

YW1wbGUuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA5cvZVr1j

Me8Mz4T3vgT1Z8DAAR0avs/TBdYiqGdjyiV/3K92IIT/0r8cuAUe5rR4sjTvaXYC

SycSbwKc4kZbr3x120ss8Itd5g4kBdrUSCprl+VMiTphQgBTAqRPk0vFX4rC8k/T

0PFDE+2gjT1wMn9reb92jYrolGK4MWZdCzqowLPjEj5cCwu8Pv5h4hqTpudms+v4

g3R1OODmeyv4uEMYLS/noPxZXZ8YiQMiG2EP2Bg0KOT3Fzx0mVuekonQtRhiZt+c

zyyfSRoqyBSakEZBwABod8q1Eg5J/pH130JlitOUJEyIlFoVHqv3jL7zfA9ilInu

NaHkir062VQNXwIDAQABoE4wDwYJKoZIhvcNAQkHMQITADA7BgkqhkiG9w0BCQ4x

LjAsMAsGA1UdDwQEAwIFoDAdBgNVHREEFjAUghJhc2F2cG4uZXhhbXBsZS5jb20w

DQYJKoZIhvcNAQELBQADggEBAM3Q3zvp9G3MWP7R4wkpnBOH2CNUmPENIhHNjQjH

Yh08EOvWyoo9FaLfHKVDLvFXh0vn5osXBmPLuVps6Ta4sBRUNicRoAmmA0pDWL9z

Duu8BQnBGuN08T/H3ydjaNoPJ/f6EZ8gXY29NXEKb/+A2Tt0VVUTsYreGS+84Gqo

ixFOtW8R50IXg+afAVOAh81xVUFOvuAi9DsiuvufMb4wdngQSOel/B9Zgp/BfGMl

l0ApgejACoJAGmyrn9Tj6Z/6/lbpKBKpf4VE5UXdj7WLAjw5JF/X2NrH3/cQsczi

G2Yg2dr3WpkTIY2W/kVohTiohVRkgXOMCecUaMlYxJyLTRQ=

-----END CERTIFICATE REQUEST-----

Redisplay enrollment request? [yes/no]: no

8. Importez le certificat d'identité. Une fois le CSR signé, un certificat d'identité est fourni.
ASAv(config)# crypto ca import CA-SIGNED certificate

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% The fully-qualified domain name in the certificate will be: asavpn.example.com

Enter the base 64 encoded certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDoTCCAomgAwIBAgIIKbLY8Qt8N5gwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

(...)

kzAihRuFqmYYUeQP2Byp/S5fNqUcyZfAczIHt8BcPmVO9l6iSF/ULGlzXMSOUX6N

d/LHXwrcTpc1zU+7qx3TpVDZbJlwwF+BWTBlxgM0BosJx65u/n75KnbBhGUE75jV

HX2eRzuhnnSVExCoeyed7DLiezD8

-----END CERTIFICATE-----

quit

INFO: Certificate successfully imported

9. Vérifiez la chaîne de certificats. Une fois terminé, le nouveau certificat d'identité et le certificat de l'autorité de certification s'affichent à l'aide de la commande show crypto ca certificates

.
ASAv# show crypto ca certificates CA-SIGNED

CA Certificate

Status: Available

Certificate Serial Number: 0ccfd063f876f7e9

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Validity Date:

start date: 15:10:00 CEST Feb 6 2015

end date: 15:10:00 CEST Feb 6 2030

Storage: config

Associated Trustpoints: CA-SIGNED

Certificate

Status: Available

Certificate Serial Number: 29b2d8f10b7c3798

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

unstructuredName=asavpn.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asavpn.example.com

Validity Date:

start date: 15:33:00 CEDT Jul 15 2022

end date: 15:33:00 CEDT Jul 15 2023

Storage: config

Associated Trustpoints: CA-SIGNED

Inscription PKCS12

Inscrivez-vous avec le fichier PKCS12 qui contient la paire de clés, le certificat d'identité et éventuellement la chaîne de certificats d'autorité de certification, reçus de votre autorité de certification.

1. Créez un point de confiance avec un nom spécifique.
ASAv(config)# crypto ca trustpoint Trustpoint-PKCS12

ASAv(config-ca-trustpoint)# exit

Remarque :   La paire de clés importée est nommée d'après le nom du point de confiance.

2. (Facultatif) Configurez la méthode de vérification de la révocation de certificats - avec la liste de révocation de certificats (CRL) ou avec le protocole OCSP (Online Certificate Status Protocol). Par défaut, la vérification de révocation de certificat est désactivée.
ASAv(config-ca-trustpoint)# revocation-check ocsp

3. Importez le certificat à partir d'un fichier PKCS12.
Remarque :   Le fichier PKCS12 doit être codé en base64. Si des caractères imprimables apparaissent lorsque le fichier est ouvert dans l'éditeur de texte, il est codé en base64. Pour convertir un fichier binaire au format codé en base64, openssl peut être utilisé.

openssl enc -base64 -in asavpnpkcs12chain.example.com.pfx -out asavpnpkcs12chain.example.com.pfx.txt
commande :
crypto ca import trustpoint pkcs12 passphrase [ nointeractive ]

ASAv(config)# crypto ca import TP-PKCS12 pkcs12 cisco123

Enter the base 64 encoded pkcs12.

End with the word "quit" on a line by itself:

MIIN4gIBAzCCDawGCSqGSIb3DQEHAaCCDZ0Egg2ZMIINlTCCCBcGCSqGSIb3DQEH

BqCCCAgwgggEAgEAMIIH/QYJKoZIhvcNAQcBMBwGCiqGSIb3DQEMAQMwDgQIiK0c

wqE3Tm0CAggAgIIH0NjxmJBuoPRuYl1VxTiawHzsL8kIl03lOj7tcWmECBwzsKKq

(...)

PXowMwYJKoZIhvcNAQkUMSYeJABhAHMAYQB2AHAAbgAuAGUAeABhAG0AcABsAGUA

LgBjAG8AbTAtMCEwCQYFKw4DAhoFAAQUPXZZtBeqlh98wQljHW7J/hqoKcwECD05

dnxCNJx6

quit

Trustpoint CA certificate accepted.

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

INFO: Import PKCS12 operation completed successfully.

4. Vérifiez le ou les certificats installés.
ASAv# show crypto ca certificates TP-PKCS12

Certificate

Status: Available

Certificate Serial Number: 2b368f75e1770fd0

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

unstructuredName=asavpn.example.com

CN=asavpnpkcs12chain.example.com

O=Example Inc

L=San Jose

ST=California

C=US

Validity Date:

start date: 15:33:00 CEDT Jul 15 2022

end date: 15:33:00 CEDT Jul 15 2023

Storage: config

Associated Trustpoints: TP-PKCS12

CA Certificate

Status: Available

Certificate Serial Number: 0ccfd063f876f7e9

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Validity Date:

start date: 15:10:00 CEST Feb 6 2015

end date: 15:10:00 CEST Feb 6 2030

Storage: config

Associated Trustpoints: TP-PKCS12

Dans l'exemple précédent, le PKCS12 contenait l'identité et le certificat CA (les deux entrées Certificat et Certificat CA). Sinon, seul le certificat est présent.

5. (Facultatif) Authentifiez le point de confiance.
Si le PKCS12 ne contenait pas le certificat CA et que le certificat CA a été obtenu séparément au format PEM, il peut être installé manuellement.

ASAv(config)# crypto ca authenticate TP-PKCS12

Enter the base 64 encoded CA certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDXDCCAkSgAwIBAgIIDM/QY/h29+kwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

(...)

gW8YnHOvM08svyTXSLlJf0UCdmAY+lG0gqhUlSlkFBtLRt6Z2uCot00NoMHI0hh5

dcVcovOi/PAxnrAlJ+Ng2jrWFN3MXWZO4S3CHYMGkWqHkaHChlqDOx9badgfsyzz

-----END CERTIFICATE-----

quit

INFO: Certificate has these attributes:

Fingerprint: e9ad165c 2673424c 6e7e0c5f b30b4a02

Do you accept this certificate? [yes/no]: yes

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

Trustpoint CA certificate accepted.

% Certificate successfully imported

Renouvellement du certificat

Renouveler le certificat auto-signé

1. Vérifiez la date d'expiration du certificat actuel.
# show crypto ca certificates SELF-SIGNED

Certificate

Status: Available

Certificate Serial Number: 62d16084

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Subject Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Validity Date:

start date: 15:00:58 CEDT Jul 15 2022

end date: 15:00:58 CEDT Jul 12 2032

Storage: config

Associated Trustpoints: SELF-SIGNED

2. Régénérez le certificat.
ASAv# conf t

ASAv(config)# crypto ca enroll SELF-SIGNED

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

WARNING: Trustpoint TP has already enrolled and has

a device cert issued to it.

If you successfully re-enroll this trustpoint,

the current certificate will be replaced.

Do you want to continue with re-enrollment? [yes/no]: yes

% The fully-qualified domain name in the certificate will be: asa.example.com

% Include the device serial number in the subject name? [yes/no]: no

Generate Self-Signed Certificate? [yes/no]: yes

ASAv(config)# exit

3. Vérifiez le nouveau certificat.
ASAv# show crypto ca certificates SELF-SIGNED

Certificate

Status: Available

Certificate Serial Number: 62d16085

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Subject Name:

unstructuredName=asa.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asa.example.com

Validity Date:

start date: 15:09:09 CEDT Jul 20 2022

end date: 15:09:09 CEDT Jul 17 2032

Storage: config

Associated Trustpoints: SELF-SIGNED

Renouveler le certificat inscrit avec une demande de signature de certificat (CSR)

Remarque : Si l'un des nouveaux éléments de certificat (subject/fqdn, keypair) doit être modifié pour le nouveau certificat, créez un nouveau certificat. Reportez-vous à la section Inscription à l'aide de la demande de signature de certificat (CSR). La procédure suivante actualise simplement la date d'expiration du certificat.

1. Vérifiez la date d'expiration du certificat actuel.
ASAv# show crypto ca certificates CA-SIGNED

Certificate

Status: Available

Certificate Serial Number: 29b2d8f10b7c3798

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

unstructuredName=asavpn.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asavpn.example.com

Validity Date:

start date: 15:33:00 CEDT Jul 15 2022

end date: 15:33:00 CEDT Jul 15 2023

Storage: config

Associated Trustpoints: CA-SIGNED

Certificate

Subject Name:

Status: Pending terminal enrollment

Key Usage: General Purpose

Fingerprint: 790aa617 c30c6894 0bdc0327 0d60b032

Associated Trustpoint: CA-SIGNED

2. Inscrivez le certificat. Générez un CSR qui peut être copié et envoyé à une autorité de certification pour signature. Le CSR inclut la clé publique de la paire de clés utilisée par trustpoint - le certificat signé ne peut être utilisé que par les périphériques qui ont cette paire de clés.
Remarque : L'autorité de certification peut modifier les paramètres FQDN et Subject Name définis dans le point de confiance lors de la signature du CSR et de la création du certificat d'identité signé.

Remarque : Pour le même point de confiance, sans modification de l'objet/du nom de domaine complet et de la configuration de la paire de clés, les inscriptions suivantes donnent le même CSR que le CSR initial.

ASAv# conf t

ASAv(config)# crypto ca enroll CA-SIGNED

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% Start certificate enrollment ..

% The subject name in the certificate will be: CN=asavpn.example.com,O=Example Inc,C=US,St=California,L=San Jose

% The fully-qualified domain name in the certificate will be: asavpn.example.com

% Include the device serial number in the subject name? [yes/no]: no

Display Certificate Request to terminal? [yes/no]: yes

Certificate Request follows:

-----BEGIN CERTIFICATE REQUEST-----

MIIDHzCCAgcCAQAwgYsxGzAZBgNVBAMMEmFzYXZwbi5leGFtcGxlLmNvbTEUMBIG

A1UECgwLRXhhbXBsZSBJbmMxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9y

bmlhMREwDwYDVQQHDAhTYW4gSm9zZTEhMB8GCSqGSIb3DQEJAgwSYXNhdnBuLmV4

YW1wbGUuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA5cvZVr1j

Me8Mz4T3vgT1Z8DAAR0avs/TBdYiqGdjyiV/3K92IIT/0r8cuAUe5rR4sjTvaXYC

SycSbwKc4kZbr3x120ss8Itd5g4kBdrUSCprl+VMiTphQgBTAqRPk0vFX4rC8k/T

0PFDE+2gjT1wMn9reb92jYrolGK4MWZdCzqowLPjEj5cCwu8Pv5h4hqTpudms+v4

g3R1OODmeyv4uEMYLS/noPxZXZ8YiQMiG2EP2Bg0KOT3Fzx0mVuekonQtRhiZt+c

zyyfSRoqyBSakEZBwABod8q1Eg5J/pH130JlitOUJEyIlFoVHqv3jL7zfA9ilInu

NaHkir062VQNXwIDAQABoE4wDwYJKoZIhvcNAQkHMQITADA7BgkqhkiG9w0BCQ4x

LjAsMAsGA1UdDwQEAwIFoDAdBgNVHREEFjAUghJhc2F2cG4uZXhhbXBsZS5jb20w

DQYJKoZIhvcNAQELBQADggEBAM3Q3zvp9G3MWP7R4wkpnBOH2CNUmPENIhHNjQjH

Yh08EOvWyoo9FaLfHKVDLvFXh0vn5osXBmPLuVps6Ta4sBRUNicRoAmmA0pDWL9z

Duu8BQnBGuN08T/H3ydjaNoPJ/f6EZ8gXY29NXEKb/+A2Tt0VVUTsYreGS+84Gqo

ixFOtW8R50IXg+afAVOAh81xVUFOvuAi9DsiuvufMb4wdngQSOel/B9Zgp/BfGMl

l0ApgejACoJAGmyrn9Tj6Z/6/lbpKBKpf4VE5UXdj7WLAjw5JF/X2NrH3/cQsczi

G2Yg2dr3WpkTIY2W/kVohTiohVRkgXOMCecUaMlYxJyLTRQ=

-----END CERTIFICATE REQUEST-----

Redisplay enrollment request? [yes/no]: no

3. Importez le certificat d'identité. Une fois le CSR signé, un certificat d'identité est fourni.
ASAv(config)# crypto ca import CA-SIGNED certificate

WARNING: The certificate enrollment is configured with an fqdn

that differs from the system fqdn. If this certificate will be

used for VPN authentication this may cause connection problems.

Would you like to continue with this enrollment? [yes/no]: yes

% The fully-qualified domain name in the certificate will be: asavpn.example.com

Enter the base 64 encoded certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDgTCCAmmgAwIBAgIIMA+aIxCtNtMwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

YS5leGFtcGxlLmNvbTAeFw0yMjA3MjAxNDA5MDBaFw0yMzA3MjAxNDA5MDBaMIGL

MRswGQYDVQQDDBJhc2F2cG4uZXhhbXBsZS5jb20xFDASBgNVBAoMC0V4YW1wbGUg

SW5jMQswCQYDVQQGEwJVUzETMBEGA1UECAwKQ2FsaWZvcm5pYTERMA8GA1UEBwwI

U2FuIEpvc2UxITAfBgkqhkiG9w0BCQIMEmFzYXZwbi5leGFtcGxlLmNvbTCCASIw

DQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBAOXL2Va9YzHvDM+E974E9WfAwAEd

Gr7P0wXWIqhnY8olf9yvdiCE/9K/HLgFHua0eLI072l2AksnEm8CnOJGW698ddtL

LPCLXeYOJAXa1Egqa5flTIk6YUIAUwKkT5NLxV+KwvJP09DxQxPtoI09cDJ/a3m/

do2K6JRiuDFmXQs6qMCz4xI+XAsLvD7+YeIak6bnZrPr+IN0dTjg5nsr+LhDGC0v

56D8WV2fGIkDIhthD9gYNCjk9xc8dJlbnpKJ0LUYYmbfnM8sn0kaKsgUmpBGQcAA

aHfKtRIOSf6R9d9CZYrTlCRMiJRaFR6r94y+83wPYpSJ7jWh5Iq9OtlUDV8CAwEA

AaMuMCwwCwYDVR0PBAQDAgWgMB0GA1UdEQQWMBSCEmFzYXZwbi5leGFtcGxlLmNv

bTANBgkqhkiG9w0BAQsFAAOCAQEAfQUchY4UjhjkySMJAh7NT3TT5JJ4NzqW8qHa

wNq+YyHR+sQ6G3vn+6cYCU87tqWlY3fXC27TwweREwMbq8NsJrr80hsChYby8kwE

LnTkrN7dJBl7u5OVQ3DRjfmFrJ9LEUaYZx1HYvcS1kAeEeVB4VJwVzeujWepcmEM

p7cB6veTcF9rulDVRImd0KYEOx+HYav2INT2udc0G1yDwml/mqdf0/ON2SpBBpnE

gtiKshtsST/NAw25WjkrDIfN8uR2z5xpzxnEDUBoHOipGlgb1I6G1ARXWO+LwfBl

n1QD5b/RdQOUbLCpfKNPdE/9wNnoXGDlJ7qfZxrO4T7ld2Idug==

-----END CERTIFICATE-----

quit

INFO: Certificate successfully imported

4. Vérifiez la date d'expiration du nouveau certificat.
ASAv# show crypto ca certificates CA-SIGNED

Certificate

Status: Available

Certificate Serial Number: 300f9a2310ad36d3

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name:

CN=ca.example.com

OU=lab

O=ww-vpn

C=PL

Subject Name:

unstructuredName=asavpn.example.com

L=San Jose

ST=California

C=US

O=Example Inc

CN=asavpn.example.com

Validity Date:

start date: 16:09:00 CEDT Jul 20 2022

end date: 16:09:00 CEDT Jul 20 2023

Storage: config

Associated Trustpoints: CA-SIGNED

Renouvellement PKCS12

Il n'est pas possible de renouveler un certificat dans un point de confiance inscrit à l'aide du fichier PKCS12. Pour installer un nouveau certificat, un nouveau point de confiance doit être créé.

1. Créez un point de confiance avec un nom spécifique.
ASAv(config)# crypto ca trustpoint Trustpoint-PKCS12-2022

ASAv(config-ca-trustpoint)# exit

2. (Facultatif) Configurez la méthode de vérification de la révocation de certificats - avec la liste de révocation de certificats (CRL) ou avec le protocole OCSP (Online Certificate Status Protocol). Par défaut, la vérification de révocation de certificat est désactivée.
ASAv(config-ca-trustpoint)# revocation-check ocsp

3. Importez le nouveau certificat à partir d'un fichier PKCS12.
Remarque :   Le fichier PKCS12 doit être codé en base64. Si des caractères imprimables apparaissent lorsque le fichier est ouvert dans l'éditeur de texte, il est codé en base64. Pour convertir un fichier binaire au format codé en base64, openssl peut être utilisé.

openssl enc -base64 -in asavpnpkcs12chain.example.com.pfx -out asavpnpkcs12chain.example.com.pfx.txt

ASAv(config)# crypto ca import TP-PKCS12-2022 pkcs12 cisco123

Enter the base 64 encoded pkcs12.

End with the word "quit" on a line by itself:

MIIN4gIBAzCCDawGCSqGSIb3DQEHAaCCDZ0Egg2ZMIINlTCCCBcGCSqGSIb3DQEH

BqCCCAgwgggEAgEAMIIH/QYJKoZIhvcNAQcBMBwGCiqGSIb3DQEMAQMwDgQIiK0c

wqE3Tm0CAggAgIIH0NjxmJBuoPRuYl1VxTiawHzsL8kIl03lOj7tcWmECBwzsKKq

(...)

PXowMwYJKoZIhvcNAQkUMSYeJABhAHMAYQB2AHAAbgAuAGUAeABhAG0AcABsAGUA

LgBjAG8AbTAtMCEwCQYFKw4DAhoFAAQUPXZZtBeqlh98wQljHW7J/hqoKcwECD05

dnxCNJx6

quit

Trustpoint CA certificate accepted.

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

INFO: Import PKCS12 operation completed successfully.

Remarque :   Si le nouveau fichier PKCS12 contient un certificat d'identité avec la même paire de clés que celle utilisée avec l'ancien certificat, le nouveau point de confiance fait référence à l'ancien nom de paire de clés.

Exemple :

ASAv(config)# crypto ca import TP-PKCS12-2022 pkcs12 cisco123

Enter the base 64 encoded pkcs12. End with the word "quit" on a line by itself:

MIIN4gIBAzCCDawGCSqGSIb3DQEHAaCCDZ0Egg2ZMIINlTCCCBcGCSqGSIb3DQEH

...

dnxCNJx6

quit

WARNING: Identical public key already exists as TP-PKCS12

ASAv(config)# show run crypto ca trustpoint TP-PKCS12-2022

crypto ca trustpoint TP-PKCS12-2022

keypair TP-PKCS12

no validation-usage crl configure

4. Vérifiez le ou les certificats installés.
ASAv# show crypto ca certificates TP-PKCS12-2022

Certificate

Status: Available

Certificate Serial Number: 2b368f75e1770fd0

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name: CN=ca.example.com OU=lab O=ww-vpn C=PL

Subject Name: unstructuredName=asavpn.example.com CN=asavpnpkcs12chain.example.com O=Example Inc L=San Jose ST=California C=US

Validity Date:

start date: 15:33:00 CEDT Jul 15 2022

end date: 15:33:00 CEDT Jul 15 2023

Storage: config

Associated Trustpoints: TP-PKCS12-2022

CA Certificate

Status: Available

Certificate Serial Number: 0ccfd063f876f7e9

Certificate Usage: General Purpose

Public Key Type: RSA (2048 bits)

Signature Algorithm: RSA-SHA256

Issuer Name: CN=ca.example.com OU=lab O=ww-vpn C=PL

Subject Name: CN=ca.example.com OU=lab O=ww-vpn C=PL

Validity Date:

start date: 15:10:00 CEST Feb 6 2015

end date: 15:10:00 CEST Feb 6 2030

Storage: config

Associated Trustpoints: TP-PKCS12-2022

Dans l'exemple précédent, le PKCS12 contenait le certificat d'identité et le certificat d'autorité de certification. Par conséquent, deux entrées apparaissent après l'importation : Certificat et certificat CA. Sinon, seule l'entrée de certificat est présente.

5. (Facultatif) Authentifiez le point de confiance.
Si le PKCS12 ne contenait pas le certificat CA et que le certificat CA a été obtenu séparément au format PEM, il peut être installé manuellement.

ASAv(config)# crypto ca authenticate TP-PKCS12-2022

Enter the base 64 encoded CA certificate.

End with the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDXDCCAkSgAwIBAgIIDM/QY/h29+kwDQYJKoZIhvcNAQELBQAwRTELMAkGA1UE

BhMCUEwxDzANBgNVBAoTBnd3LXZwbjEMMAoGA1UECxMDbGFiMRcwFQYDVQQDEw5j

(...)

gW8YnHOvM08svyTXSLlJf0UCdmAY+lG0gqhUlSlkFBtLRt6Z2uCot00NoMHI0hh5

dcVcovOi/PAxnrAlJ+Ng2jrWFN3MXWZO4S3CHYMGkWqHkaHChlqDOx9badgfsyzz

-----END CERTIFICATE-----

quit

INFO: Certificate has these attributes:

Fingerprint: e9ad165c 2673424c 6e7e0c5f b30b4a02

Do you accept this certificate? [yes/no]: yes

WARNING: CA certificates can be used to validate VPN connections,

by default. Please adjust the validation-usage of this

trustpoint to limit the validation scope, if necessary.

Trustpoint CA certificate accepted.

% Certificate successfully imported

6. Reconfigurez l'ASA pour utiliser le nouveau point de confiance au lieu de l'ancien.

Exemple :

ASAv# show running-config ssl trust-point

ssl trust-point TP-PKCS12

ASAv# conf t

ASAv(config)#ssl trust-point TP-PKCS12-2022

ASAv(config)#exit

Remarque : Un point de confiance peut être utilisé dans différents éléments de configuration. Vérifiez votre configuration à l'endroit où l'ancien point de confiance est utilisé.

Informations connexes

- Configuration des paramètres d'heure sur un ASA : CLI Book 1: Guide de configuration CLI des opérations générales de la gamme Cisco Secure Firewall ASA, 9.18