Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Protocolli di gestione

SCP

Configurazione

Verifica

TFTP

Configurazione

Verifica

FTP

Configurazione

Verifica

Protocolli di accesso alla gestione

Accesso regolare

SSH

Telnet

HTTP

Accesso permanente

SSH permanente

Persistent Telnet

HTTP permanente

Risoluzione dei problemi

Chiave RSA

Certificato

Informazioni correlate

Introduzione

In questo documento viene descritto l'utilizzo della gestione con supporto di Routing e inoltro virtuale (VRF-Aware) su Cisco Aggregation Services Router serie 1000 (ASR1K) con interfaccia di gestione (Gigabit Ethernet0). Le informazioni sono applicabili anche a qualsiasi altra interfaccia in un VRF, se non diversamente specificato. Sono descritti vari protocolli di accesso per gli scenari di connessione diretta e diretta.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Protocolli di gestione, ad esempio SSH, Telnet e HTTP

- Protocolli di trasferimento file, ad esempio SCP (Secure Copy Protocol), TFTP e FTP

- VRF

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco IOS® XE versione 3.5S (15.2(1)S) o successive versioni Cisco IOS-XE

Nota: VRF-Aware SCP richiede almeno questa versione, mentre altri protocolli descritti in questo documento funzionano anche con le versioni precedenti.

- ASR1K

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Interfaccia di gestione: Lo scopo di un'interfaccia di gestione è quello di consentire agli utenti di eseguire le attività di gestione sul router. Si tratta fondamentalmente di un'interfaccia che non deve, e spesso non può, inoltrare il traffico della corsia dati. In caso contrario, può essere utilizzata per l'accesso remoto al router, spesso tramite Telnet e Secure Shell (SSH), e per eseguire la maggior parte delle attività di gestione sul router. L'interfaccia è più utile prima che un router inizi il routing o in scenari di risoluzione dei problemi quando le interfacce Shared Port Adapter (SPA) sono inattive. Su ASR1K, l'interfaccia di gestione si trova in un VRF predefinito denominato Mgmt-intf.

il comando ip <protocollo> source-interface viene usato ampiamente in questo documento (la parola chiave <protocollo> può essere SSH, FTP, TFTP). Questo comando è usato per specificare l'indirizzo IP di un'interfaccia da usare come indirizzo di origine quando l'ASR è il dispositivo client in una connessione (ad esempio, la connessione viene avviata dall'ASR o dal traffico locale). Ciò significa anche che se l'ASR non è l'iniziatore della connessione, il comando ip <protocol> source-interface non è applicabile e l'ASR non utilizza questo indirizzo IP per il traffico di risposta; utilizza invece l'indirizzo IP dell'interfaccia più vicina alla destinazione. Questo comando consente di generare il traffico (per i protocolli supportati) da un'interfaccia compatibile con VRF.

Protocolli di gestione

Nota: per ulteriori informazioni sui comandi menzionati in questo articolo, usare lo strumento di ricerca dei comandi (solo utenti registrati).

SCP

Per utilizzare il servizio client SCP su un ASR da un'interfaccia abilitata per VRF, utilizzare questa configurazione.

Configurazione

Il comando ip ssh source-interface viene usato per indirizzare l'interfaccia di gestione al VRF Mgmt-intf sia per i servizi client SSH che SCP, in quanto SCP usa SSH. Il comando copy scp non include altre opzioni per specificare il VRF. Pertanto, è necessario usare questo comando ip ssh source-interface. La stessa logica si applica a qualsiasi altra interfaccia abilitata per VRF.

ASR(config)#ip ssh source-interface GigabitEthernet0

Nota: Sulla piattaforma ASR1k, SCP compatibile con VRF funziona solo nella versione XE3.5S (15.2(1)S).

Verifica

Utilizzare questi comandi per verificare la configurazione.

ASR#show vrf

Name                             Default RD          Protocols   Interfaces

Mgmt-intf                        <not set>           ipv4,ipv6   Gi0

ASR#

Per copiare un file da ASR a un dispositivo remoto con SCP, immettere questo comando:

ASR#copy running-config scp://guest@10.76.76.160/router.cfg

Address or name of remote host [10.76.76.160]?

Destination username [guest]?

Destination filename [router.cfg]?

Writing router.cfg Password:

!

Sink: C0644 2574 router.cfg

2574 bytes copied in 20.852 secs (123 bytes/sec)

ASR#

Per copiare un file da una periferica remota ad ASR con SCP, immettere questo comando:

ASR#copy scp://guest@10.76.76.160/router.cfg bootflash:

Destination filename [router.cfg]?

Password:

Sending file modes: C0644 2574 router.cfg

!

2574 bytes copied in 17.975 secs (143 bytes/sec)

TFTP

Per utilizzare il servizio client TFTP su un'ASR1k da un'interfaccia abilitata per VRF, utilizzare questa configurazione.

Configurazione

L'opzione ip tftp source-interface viene usata per indirizzare l'interfaccia di gestione al VRF Mgmt-intf. Il comando copy tftp non include altre opzioni per specificare il VRF. Pertanto, è necessario utilizzare questo comando ip tftp source-interface. La stessa logica si applica a qualsiasi altra interfaccia abilitata per VRF.

ASR(config)#ip tftp source-interface GigabitEthernet0

Verifica

Utilizzare questi comandi per verificare la configurazione.

ASR#show vrf

Name                             Default RD            Protocols   Interfaces

Mgmt-intf                        <not set>             ipv4,ipv6   Gi0

ASR#

Per copiare un file da ASR al server TFTP, immettere questo comando:

ASR#copy running-config tftp

Address or name of remote host [10.76.76.160]?

Destination filename [ASRconfig.cfg]?

!!

2658 bytes copied in 0.335 secs (7934 bytes/sec)

ASR#

Per copiare un file dal server TFTP al bootflash ASR, immettere questo comando:

ASR#copy tftp://10.76.76.160/ASRconfig.cfg bootflash:

Destination filename [ASRconfig.cfg]?

Accessing tftp://10.76.76.160/ASRconfig.cfg...

Loading ASRconfig.cfg from 10.76.76.160 (via GigabitEthernet0): !

[OK - 2658 bytes]

2658 bytes copied in 0.064 secs (41531 bytes/sec)

ASR#

FTP

Per utilizzare il servizio client FTP su un ASR da un'interfaccia abilitata per VRF, utilizzare questa configurazione.

Configurazione

L'opzione ip ftp source-interface viene usata per indirizzare l'interfaccia di gestione al VRF Mgmt-intf. Il comando copy ftp non contiene altre opzioni per specificare il VRF. È necessario quindi usare il comando ip ftp source-interface. La stessa logica si applica a qualsiasi altra interfaccia abilitata per VRF.

ASR(config)#ip ftp source-interface GigabitEthernet0

Verifica

Utilizzare questi comandi per verificare la configurazione.

ASR#show vrf

Name                             Default RD            Protocols   Interfaces

Mgmt-intf                        <not set>             ipv4,ipv6   Gi0

Per copiare un file da ASR a un server FTP, immettere questo comando:

ASR#copy running-config ftp://username:password@10.76.76.160/ASRconfig.cfg

Address or name of remote host [10.76.76.160]?

Destination filename [ASRconfig.cfg]?

Writing ASRconfig.cfg !

2616 bytes copied in 0.576 secs (4542 bytes/sec)

ASR#

Per copiare un file dal server FTP al file bootflash ASR, immettere questo comando:

ASR#copy ftp://username:password@10.76.76.160/ASRconfig.cfg bootflash:

Destination filename [ASRconfig.cfg]?

Accessing ftp://*****:*****@10.76.76.160/ASRconfig.cfg...

Loading ASRconfig.cfg !

[OK - 2616/4096 bytes]

2616 bytes copied in 0.069 secs (37913 bytes/sec)

ASR#

Protocolli di accesso alla gestione

Accesso regolare

SSH

Attenzione: Uno dei problemi più comuni riscontrati con gli ASR1k è che il protocollo SSH ha esito negativo a causa di memoria insufficiente. Per ulteriori informazioni sul problema, consultare l'articolo SSH Authentication Failure to Low Memory Conditions (Errore di autenticazione SSH a causa di memoria insufficiente) di Cisco.

Per eseguire il servizio client SSH sull'ASR (SSH preconfigurato), sono disponibili due opzioni. In un caso, è possibile specificare il nome del VRF nello stesso comando ssh, in modo da poter originare il traffico SSH da un determinato VRF.

ASR#ssh -vrf Mgmt-intf -l cisco 10.76.76.161

Password:

Router>en

Password:

Router#

In alternativa, è possibile usare l'opzione ip ssh source-interface per indirizzare il traffico SSH da un'interfaccia VRF specifica.

ASR(config)#ip ssh source-interface GigabitEthernet0

ASR#

ASR#ssh -l cisco 10.76.76.161

Password:

Router>en

Password:

Router#

Per utilizzare il servizio server SSH (SSH incluso), seguire la procedura per abilitare SSH su qualsiasi altro router Cisco IOS. Per ulteriori informazioni, consultare la sezione Telnet e SSH Overview for the Cisco ASR 1000 Series Router in Cisco ASR 1000 Aggregation Services Router Software Configuration Guide.

Telnet

Per eseguire il servizio client Telnet sull'ASR, è possibile utilizzare due opzioni (Telnet dall'inizio). È possibile specificare l'interfaccia di origine o il VRF nel comando telnet stesso, come mostrato di seguito:

ASR#telnet 10.76.76.160 /source-interface GigabitEthernet 0 /vrf Mgmt-intf

Trying 10.76.76.160 ... Open

User Access Verification

Username: cisco

Password:

Router>en

Password:

Router#

In alternativa, è possibile usare il comando ip telnet source-interface. È comunque necessario specificare il nome VRF nel passaggio successivo con il comando telnet, come mostrato di seguito:

ASR(config)#ip telnet source-interface GigabitEthernet0

ASR#

ASR#telnet 10.76.76.160 /vrf Mgmt-intf

Trying 50.50.50.3 ... Open

User Access Verification

Username: cisco

Password:

Router>en

password:

Router#

Per utilizzare il servizio server Telnet (Telnet to the box), seguire la procedura per abilitare Telnet su qualsiasi altro router. Per ulteriori informazioni, consultare la sezione Telnet e SSH Overview for the Cisco ASR 1000 Series Router in Cisco ASR 1000 Aggregation Services Router Software Configuration Guide.

HTTP

L'interfaccia utente Web legacy disponibile per tutti i router è disponibile anche per ASR1K. Abilitare il server HTTP o il servizio client su ASR come mostrato in questa sezione.

Per abilitare l'accesso HTTP legacy al servizio preconfigurato (server) e utilizzare l'accesso GUI basato sul Web, utilizzare questa configurazione che utilizza l'autenticazione locale (è possibile utilizzare anche un server AAA (Authentication, Authorization, and Accounting) esterno).

ASR(config)#ip http

ASR(config)#ip http authentication local

ASR(config)#username <> password <>

Di seguito è riportata la configurazione per abilitare il server sicuro HTTP (HTTPS):

ASR(config)#ip http secure-server

ASR(config)#ip http authentication local

ASR(config)#username <> password <>

Individuare l'indirizzo IP di un'interfaccia sull'ASR e accedere con l'account utente creato. Ecco uno screenshot:

Per utilizzare il servizio client HTTP, immettere il comando ip http client source-interface <nome interfaccia> per il traffico del client HTTP da un'interfaccia abilitata per VRF, come mostrato:

ASR(config)#ip http client source-interface GigabitEthernet0

Di seguito è riportato un esempio che illustra l'utilizzo del servizio client HTTP per copiare un'immagine da un server HTTP remoto alla memoria flash:

ASR#

ASR#copy http://username:password@10.76.76.160/image.bin flash:

Destination filename [image.bin]?

Accessing http://10.106.72.62/image.bin...

Loading http://10.106.72.62/image.bin

1778218 bytes copied in 20.038 secs (465819 bytes/sec)

ASR#

Accesso permanente

Questa sezione è applicabile solo alle connessioni Telnet/SSH/HTTP predefinite.

Con il protocollo SSH persistente e il protocollo Telnet persistente, è possibile configurare una mappa di trasporto che definisce il trattamento del traffico SSH o Telnet in arrivo sull'interfaccia Ethernet di gestione. In questo modo è possibile accedere al router tramite la modalità diagnostica anche quando il processo Cisco IOS non è attivo. Per ulteriori informazioni sulla modalità diagnostica, fare riferimento alla sezione Descrizione della modalità diagnostica nella guida alla configurazione del software dei router Cisco ASR serie 1000 Aggregation Services.

Nota: Il protocollo SSH persistente o Telnet persistente può essere configurato solo sull'interfaccia di gestione Gigabit Ethernet0.

Nota: Nelle versioni in cui non è disponibile la correzione per l'ID bug Cisco CSCuj37515, il metodo di autenticazione per l'accesso permanente dipende dal metodo usato alla riga VTY. Per l'accesso permanente è necessario che l'autenticazione sia locale, in modo che l'accesso in modalità diagnostica funzioni anche in caso di errore dell'autenticazione esterna. Ciò significa che ogni normale accesso SSH e Telnet richiede anche l'uso dell'autenticazione locale.

Attenzione: Nelle versioni in cui non è disponibile la correzione per l'ID bug Cisco CSCug77654, l'uso del metodo AAA predefinito limita la possibilità per l'utente di immettere il prompt SSH quando si usa il protocollo SSH persistente. L'utente è sempre obbligato a immettere il prompt di diagnostica. Per queste versioni, Cisco consiglia di utilizzare un metodo di autenticazione dei nomi o di verificare che i normali protocolli SSH e Telnet siano abilitati.

SSH permanente

Creare una mappa del trasporto per consentire il protocollo SSH persistente, come mostrato nella sezione successiva:

Configurazione

ASR(config)#crypto key generate rsa label ssh-keys modulus 1024

The name for the keys will be: ssh-keys

% The key modulus size is 1024 bits

% Generating 1024 bit RSA keys, keys will be non-exportable...

[OK] (elapsed time was 1 seconds)

ASR#

ASR(config)#transport-map type persistent ssh

persistent-ssh-map

ASR(config-tmap)#rsa keypair-name ssh-keys

ASR(config-tmap)#transport interface GigabitEthernet0

ASR(config-tmap)#banner wait X

Enter TEXT message.  End with the character 'X'.

--Waiting for vty line--

X

ASR(config-tmap)#

ASR(config-tmap)# banner diagnostic X

Enter TEXT message.  End with the character 'X'.

--Welcome to Diagnostic Mode--

c

ASR(config-tmap)#connection wait allow interruptible

ASR(config-tmap)#exit

ASR(config)#transport type persistent ssh input persistent-ssh

*Jul 10 15:31:57.102: %UICFGEXP-6-SERVER_NOTIFIED_START: R0/0: psd:

Server persistent ssh has been notified to start

A questo punto, è necessario abilitare l'autenticazione locale per il protocollo SSH permanente. A tale scopo, è possibile usare il comando aaa new-model o senza di esso. Entrambi gli scenari sono descritti qui. In entrambi i casi, verificare di disporre di un account con nome utente e password locale sul router.

È possibile scegliere la configurazione a seconda che il server AAA sia abilitato o meno sull'ASR.

1. Con AAA abilitato:

ASR(config)#aaa new-model

ASR(config)#aaa authentication login default local

ASR(config)#line vty 0 4

ASR(config-line)#login authentication default

2. Senza AAA abilitato:

ASR(config)#line vty 0 4

ASR(config-line)#login local

Verifica

SSH all'ASR con l'indirizzo IP dell'interfaccia Gigabit Ethernet0 abilitata per VRF. Una volta immessa la password, è necessario immettere la sequenza di interruzione (Ctrl-C o Ctrl-Maiusc-6).

management-station$ ssh -l cisco 10.106.47.139

cisco@10.106.47.139's password:

--Waiting for vty line--

--Welcome to Diagnostic Mode--

ASR(diag)#

Nota: Immettere la sequenza di interruzione (Ctrl-C o Ctrl-Maiusc-6) quando sul terminale viene visualizzato —In attesa della linea vty per accedere alla modalità diagnostica.

Persistent Telnet

Configurazione

Con una logica simile a quella descritta nella sezione precedente per SSH, creare una mappa del trasporto per Telnet persistente, come mostrato di seguito:

ASR(config)#transport-map type persistent telnet persistent-telnet

ASR(config-tmap)#banner diagnostic X

Enter TEXT message.  End with the character 'X'.

--Welcome to Diagnostic Mode--

X

ASR(config-tmap)#banner wait X

Enter TEXT message.  End with the character 'X'.

--Waiting for IOS Process--

X

ASR(config-tmap)#connection wait allow interruptible

ASR(config-tmap)#transport interface gigabitEthernet 0

ASR(config-tmap)#exit

ASR(config)#transport type persistent telnet input persistent-telnet

*Jul 10 15:26:56.441: %UICFGEXP-6-SERVER_NOTIFIED_START: R0/0: psd:

Server persistent telnet has been notified to start

Come indicato nell'ultima sezione per SSH, sono disponibili due metodi per configurare l'autenticazione locale, come mostrato di seguito:

1. Con AAA abilitato:

ASR(config)#aaa new-model

ASR(config)#aaa authentication login default local

ASR(config)#line vty 0 4

ASR(config-line)#login authentication default

2. Senza AAA:

ASR(config)#line vty 0 4

ASR(config-line)#login local

Verifica

Telnet su indirizzo IP dell'interfaccia Gigabit Ethernet0. Dopo aver immesso le credenziali, immettere la sequenza di interruzione e attendere alcuni secondi (a volte potrebbe essere necessario del tempo) prima di accedere alla modalità diagnostica.

Management-station$ telnet 10.106.47.139

Trying 10.106.47.139...

Connected to 10.106.47.139.

Escape character is '^]'.

Username: cisco

Password:

--Waiting for IOS Process--

--Welcome to Diagnostic Mode--

ASR(diag)#

Nota: Immettere la sequenza di interruzione Ctrl+C o Ctrl+Maiusc+6, quindi attendere alcuni secondi. Quando sul terminale viene visualizzato —In attesa del processo IOS, è possibile accedere alla modalità diagnostica.

HTTP permanente

Per abilitare l'accesso HTTP permanente alla console (il servizio client HTTP dalla console o non è disponibile) e utilizzare il nuovo accesso GUI basato sul Web, utilizzare questa configurazione che utilizza l'autenticazione locale (è possibile utilizzare anche un server AAA esterno).

Configurazione

In queste configurazioni, http-webui e https-webui sono i nomi delle mappe di trasporto.

ASR(config)#ip http serverASR(config)#ip http authentication local

ASR(config)#username <> password <>

ASR(config)#transport-map type persistent webui http-webui

ASR(config-tmap)#server

ASR(config-tmap)#exit

ASR(config)#transport type persistent webui input http-webui

Di seguito è riportata la configurazione utilizzata per abilitare il server sicuro HTTP (HTTPS).

ASR(config)#ip http secure-serverASR(config)#ip http authentication local

ASR(config)#username <> password <>

ASR(config)#transport-map type persistent webui https-webui

ASR(config-tmap)#secure-server

ASR(config-tmap)#exit

ASR(config)#transport type persistent webui input https-webui

Verifica

Selezionare l'indirizzo IP di un'interfaccia sull'ASR. Accedere con il nome utente/password creati per avviare la home page. Vengono visualizzate le informazioni relative allo stato e al monitoraggio, insieme a una IOS WebUI dove è possibile applicare i comandi. Ecco uno screenshot della homepage:

Risoluzione dei problemi

Se WebUI non è disponibile tramite HTTPS, verificare che il certificato e la chiave Rivest-Shamir-Adleman (RSA) siano presenti e funzionanti. È possibile utilizzare questo comando debug per determinare il motivo per cui WebUI non viene avviato correttamente:

ASR#debug platform software configuration notify webui

ASR#config t

ASR(config)#no transport type persistent webui input https-webui

%UICFGEXP-6-SERVER_NOTIFIED_STOP: SIP0: psd: Server wui has been notified to stop

ASR(config)#transport type persistent webui input https-webui

CNOTIFY-UI: Setting transport map

CNOTIFY-UI: Transport map https-webui input being processed

CNOTIFY-UI: Processing map association

CNOTIFY-UI: Attempting to send config

CNOTIFY-UI: Preparing to send config

CNOTIFY-UI: server cache: false, tm: false

CNOTIFY-UI: secure-server cache: true, tm: true

CNOTIFY-UI: Validating server config

CNOTIFY-UI: Validating secure server config

CNOTIFY-UI: Checking if secure server config is ok

CNOTIFY-UI: Secure server is enabled in map

CNOTIFY-UI: Getting trust point

CNOTIFY-UI: Getting self-signed trust point

CNOTIFY-UI: Could not get self-signed trustpoint

CNOTIFY-UI: A certificate for does not exist

CNOTIFY-UI: Getting rsa key-pair name

CNOTIFY-UI: Failed to get rsa key pair name

CNOTIFY-UI: Key needed to generate the pem file

CNOTIFY-UI: Secure-server config invalid

CNOTIFY-UI: Config analysis indicates no change

CNOTIFY-UI: Failed to prepare config

Chiave RSA

Per verificare la presenza della chiave RSA, immettere questo comando:

ASR#show crypto key mypubkey rsa

% Key pair was generated at: XX:XX:XX XXX XXX XX XXXX

Key name: ASR.ASR

Key type: RSA KEYS

Storage Device: not specified

Usage: General Purpose Key

Key is not exportable. Redundancy enabled.

Key Data&colon;

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXX

% Key pair was generated at: XX:XX:XX XXX XXX XX XXXX

Key name: ASR.ASR.server

Key type: RSA KEYS

Temporary key

Usage: Encryption Key

Key is not exportable. Redundancy enabled.

Key Data&colon;

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXX

ASR#

Prendere nota del nome della chiave, in quanto necessario per creare il certificato. Se non è presente una chiave, è possibile crearne una con i seguenti comandi:

ASR(config)#ip domain-name Router

ASR(config)#crypto key generate rsa

The name for the keys will be: Router.Router

Choose the size of the key modulus in the range of 360 to 4096 for your

General Purpose Keys. Choosing a key modulus greater than 512 may take

a few minutes.

How many bits in the modulus [512]: 2048

% Generating 2048 bit RSA keys, keys will be non-exportable...

[OK] (elapsed time was 1 seconds)

ASR(config)#

*Dec 22 10:57:11.453: %SSH-5-ENABLED: SSH 1.99 has been enabled

Certificato

Una volta trovata la chiave, è possibile immettere questo comando per verificare il certificato:

ASR#show crypto pki certificates

ASR Self-Signed Certificate

Status: Available

Certificate Serial Number (hex): 01

Certificate Usage: General Purpose

Issuer:

serialNumber=XXXXXXXXXXX+ipaddress=XXX.XXX.XXX.XXX+hostname=ASR

cn=XXX.XXX.XXX.XXX

c=US

st=NC

l=Raleigh

Subject:

Name: Router

IP Address: XXX.XXX.XXX.XXX

Serial Number: XXXXXXXXXXX

serialNumber=XXXXXXXXXXX+ipaddress=XXX.XXX.XXX.XXX+hostname=aSR

cn=XXX.XXX.XXX.XXX

c=US

st=NC

l=Raleigh

Validity Date:

start date: XX:XX:XX XXX XXX XX XXXX

end   date: XX:XX:XX XXX XXX XX XXXX

Associated Trustpoints: local

Se il certificato non è valido o non è presente, è possibile crearlo con i seguenti comandi:

ASR(config)#crypto pki trustpoint local

ASR(ca-trustpoint)#enrollment selfsigned

ASR(ca-trustpoint)#subject-name CN=XXX.XXX.XXX.XXX; C=US; ST=NC; L=Raleigh

ASR(ca-trustpoint)#rsakeypair ASR.ASR 2048

ASR(ca-trustpoint)#crypto pki enroll local

% Include the router serial number in the subject name? [yes/no]: yes

% Include an IP address in the subject name? [no]: yes

Enter Interface name or IP Address[]: XXX.XXX.XXX.XXX

Generate Self Signed Router Certificate? [yes/no]: yes

Router Self Signed Certificate successfully created

Una volta che la chiave RSA e il certificato sono stati aggiornati e sono validi, il certificato può essere associato alla configurazione HTTPS:

ASR(config)#ip http secure-trustpoint local

È quindi possibile disattivare e riattivare WebUI per garantirne il corretto funzionamento:

ASR#conf t

Enter configuration commands, one per line.  End with CNTL/Z.

ASR(config)#no transport type persistent webui input https-webui

ASR(config)#

CNOTIFY-UI: Setting transport map

CNOTIFY-UI: Transport map usage being disabled

CNOTIFY-UI: Processing map association

CNOTIFY-UI: Attempting to send config

CNOTIFY-UI: Preparing to send config

CNOTIFY-UI: Persistent webui will be shutdown if running

CNOTIFY-UI: Creating config message

CNOTIFY-UI: Secure-server state actually being set to: disabled

CNOTIFY-UI: Webui server information: changed: true, status: disabled, port: 80

CNOTIFY-UI: Webui secure server information: changed: true, status: disabled, port: 443

CNOTIFY-UI: Webui service (re)start: false. Sending all config

ASR(config)#

ASR(config)#transport type persistent webui input https-webui

ASR(config)#

CNOTIFY-UI: Setting transport map

CNOTIFY-UI: Transport map https-webui input being processed

CNOTIFY-UI: Processing map association

CNOTIFY-UI: Attempting to send config

CNOTIFY-UI: Preparing to send config

CNOTIFY-UI: server cache: false, tm: false

CNOTIFY-UI: secure-server cache: true, tm: true

CNOTIFY-UI: Validating server config

CNOTIFY-UI: Validating secure server config

CNOTIFY-UI: Checking if secure server config is ok

CNOTIFY-UI: Secure server is enabled in map

CNOTIFY-UI: Getting trust point

CNOTIFY-UI: Using issued certificate for identification

CNOTIFY-UI: Getting rsa key-pair name

CNOTIFY-UI: Getting private key

CNOTIFY-UI: Getting certificate

CNOTIFY-UI: Secure server config is ok

CNOTIFY-UI: Secure-server config is valid

CNOTIFY-UI: Creating config message

CNOTIFY-UI: Secure-server state actually being set to: enabled

CNOTIFY-UI: Adding rsa key pair

CNOTIFY-UI: Getting base64 encoded rsa key

CNOTIFY-UI: Getting rsa key-pair name

CNOTIFY-UI: Getting private key

CNOTIFY-UI: Added rsa key

CNOTIFY-UI: Adding certificate

CNOTIFY-UI: Getting base64 encoded certificate

CNOTIFY-UI: Getting certificate

CNOTIFY-UI: Getting certificate for local

CNOTIFY-UI: Certificate added

CNOTIFY-UI: Webui server information: changed: false, status: disabled, port: 80

CNOTIFY-UI: Webui secure server information: changed: true, status: enabled, port: 443

CNOTIFY-UI: Webui service (re)start: true. Sending all config

%UICFGEXP-6-SERVER_NOTIFIED_START: SIP0: psd:  Server wui has been notified to start

Informazioni correlate

- Gestione porta console, Telnet e SSH

- Informazioni sulla modalità diagnostica

- Documentazione e supporto tecnico – Cisco Systems