Sostituisci certificato di identità di Gestore telemetria

Introduzione

In questo documento viene descritto come sostituire il certificato di identità del server nel nodo di gestione CTB (Cisco Telemetry Broker).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Amministrazione appliance Cisco Telemetry Broker
• Certificati X509

Componenti usati

Gli accessori utilizzati per questo documento eseguono la versione 2.0.1

• Nodo gestione broker di telemetria Cisco
• Nodo broker di telemetria Cisco

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Requisiti dei certificati

Il certificato x509 utilizzato da Cisco Telemetry Broker Manager deve soddisfare i seguenti requisiti:

• Il certificato e la chiave privata devono essere una coppia corrispondente
• Il certificato e la chiave privata devono essere codificati PEM
• La chiave privata non deve essere protetta da passphrase

Conferma coppia certificato e chiave privata

Accedere a Gestione CTB come utente amministratore.

OSPF (Open Shortest Path First) sudo openssl req -in server.csr -pubkey -noout -outform pem | sha256sum Il comando restituisce il checksum SHA-256 della chiave pubblica dal file di richiesta di firma del certificato. 

OSPF (Open Shortest Path First) sudo openssl pkey -in server.key -pubout -outform pem | sha256sumrestituisce il checksum SHA-256 della chiave pubblica dal file della chiave privata.

OSPF (Open Shortest Path First) sudo openssl x509 -in server.crt -pubkey -noout -outform pem | sha256sumIl comando restituisce il checksum SHA-256 della chiave pubblica dal file del certificato rilasciato.

L'output del certificato e della chiave privata deve corrispondere. Se non è stata utilizzata una richiesta di firma del certificato, il file server.crt non esiste.

admin@ctb-manager:~$ sudo openssl req -in server.csr -pubkey -noout -outform pem | sha256sum 
3e8e6b0d397ada1be7e89be21eb555c9527741460074385730d524c60e3ae315  -
admin@ctb-manager:~$  

admin@ctb-manager:~$ sudo openssl pkey -in server.key -pubout -outform pem | sha256sum
3e8e6b0d397ada1be7e89be21eb555c9527741460074385730d524c60e3ae315  -

admin@ctb-manager:~$ sudo openssl x509 -in server.crt -pubkey -noout -outform pem | sha256sum 
3e8e6b0d397ada1be7e89be21eb555c9527741460074385730d524c60e3ae315  -

Conferma che la chiave privata non è protetta da passphrase

Accedere a Gestione CTB come utente amministratore. Eseguire il ssh-keygen -yf server.key

Se la chiave privata non ne richiede una, non è necessaria una passphrase.

admin@ctb-manager:~$ ssh-keygen -yf server.key 
ssh-rsa {removed for brevity}
admin@ctb-manager:~$

Confermare che il certificato e la chiave privata siano codificati PEM

Accedere a Gestione CTB come utente amministratore.

Visualizzare il contenuto del file server.crt con sudo cat server.crt Impostare il comando sul nome del file del certificato.

admin@ctb-manager:~$ sudo cat server.crt 
-----BEGIN CERTIFICATE-----
{removed_for_brevity}
-----END CERTIFICATE-----
admin@ctb-manager:~$  

Visualizzare il file server.key con sudo cat server.key Impostare il comando sul nome del file delle chiavi private.

admin@ctb-manager:~$ sudo cat server.key 
-----BEGIN PRIVATE KEY-----
{removed_for_brevity}
-----END PRIVATE KEY-----
admin@ctb-manager:~$  

Certificato autofirmato

Genera certificato autofirmato

1. Accedere a CTB Manager tramite SSH (Secure Shell) come utente configurato durante l'installazione. In genere si tratta dell'utente "admin".
   
   
2. Utilizzare il comando sudo openssl req -x509 -newkey rsa:{key_len} -nodes -keyout key.pem -out cert.pem -sha256 -days 3650 -subj /CN={ctb_manager_ip}
   • Modificare il rsa:{key_len} con una lunghezza di chiave privata a scelta, ad esempio 2048, 4096 o 8192
   • Modificare il {ctb_manager_ip}con l'indirizzo IP del nodo di gestione CTB
     
     

     admin@ctb-manager:~$ sudo openssl req -x509 -newkey rsa:4096 -nodes -keyout key.pem -out cert.pem -sha256 -days 3650 -subj /CN=10.209.35.152   
     [sudo] password for admin: 
     Generating a RSA private key
     .....................................................................................++++
     ............................................................................++++
     writing new private key to 'key.pem'
     -----
     admin@ctb-manager:~$  ​

3. Visualizzare il file cert.pem con cat cert.pem e copiare il contenuto nel buffer in modo che possa essere incollato sulla workstation locale in un editor di testo di scelta. Salvare il file. È inoltre possibile eseguire il SCP di questi file /home/admin  directory.
   
   

   admin@ctb-manager:~$ cat cert.pem 
   -----BEGIN CERTIFICATE-----
   {removed_for_brevity}
   -----END CERTIFICATE-----
   admin@ctb-manager:~$  ​

   
   
   
4. Visualizzare il file key.pem con sudo cat key.pem e copiare il contenuto nel buffer in modo che possa essere incollato sulla workstation locale in un editor di testo di scelta. Salvare il file. È inoltre possibile eseguire il SCP di questo file /home/admin directory.
   
   

   admin@ctb-manager:~$ sudo cat key.pem 
   -----BEGIN PRIVATE KEY-----
   {removed_for_brevity}
   -----END PRIVATE KEY-----
   admin@ctb-manager:~$  ​

Carica certificato autofirmato

Certificati rilasciati da CA (Certification Authority)

Genera richiesta di firma del certificato (CSR) per il rilascio da parte di un'Autorità di certificazione

1. Accedere a CTB Manager tramite SSH (Secure Shell) come utente configurato durante l'installazione. In genere si tratta dell'utente "admin".
   
   
2. Utilizzare il comando openssl req -new -newkey rsa:{key_len} -nodes -addext "subjectAltName = DNS:{ctb_manager_dns_name},IP:{ctb_manager_ip}" -keyout server.key -out server.csr Se lo si desidera, è possibile lasciare vuoti gli attributi "extra" delle ultime due righe.
   
   • Modificare il {ctb_manager_dns_name} con il nome DNS del nodo di gestione CTB
   • Modificare il {ctb_manager_ip}con l'indirizzo IP del nodo di gestione CTB
   • Modificare il {key_len} con una lunghezza di chiave privata a scelta, ad esempio 2048, 4096 o 8192. 
     
     

     admin@ctb-manager:~$ openssl req -new -newkey rsa:4096 -nodes -addext "subjectAltName = DNS:ctb-manager,IP:10.209.35.152" -keyout server.key -out server.csr
     Generating a RSA private key
     ......................++++
     ....................................++++
     writing new private key to 'server.key'
     -----
     You are about to be asked to enter information that will be incorporated
     into your certificate request.
     What you are about to enter is what is called a Distinguished Name or a DN.
     There are quite a few fields but you can leave some blank
     For some fields there will be a default value,
     If you enter '.', the field will be left blank.
     -----
     Country Name (2 letter code) [AU]:US
     State or Province Name (full name) [Some-State]:North Carolina
     Locality Name (eg, city) []:RTP
     Organization Name (eg, company) [Internet Widgits Pty Ltd]:Cisco Systems Inc
     Organizational Unit Name (eg, section) []:TAC
     Common Name (e.g. server FQDN or YOUR name) []:ctb-manager
     Email Address []:noreply@cisco.com
     
     Please enter the following 'extra' attributes
     to be sent with your certificate request
     A challenge password []:
     An optional company name []: ​

     
     
     
3. Eseguire il SCP del CSR e dei file di chiave su un computer locale e fornire il CSR alla CA. Il rilascio del CSR da parte dell'autorità di certificazione in formato PEM esula dall'ambito del presente documento.

Crea un certificato con concatenamento

La CA emette il certificato di identità del server in formato PEM. È necessario creare un file concatenato che includa tutti i certificati concatenati e il certificato di identità del server per il nodo di gestione CTB.

In un editor di testo creare un file combinando il certificato firmato nel passaggio precedente e aggiungendo tutti i certificati della catena, inclusa la CA attendibile, in un unico file in formato PEM nell'ordine indicato.

— BEGIN CERTIFICATE — 
{CTB Manager Issued Certificate}
— END CERTIFICATE —
— BEGIN CERTIFICATE —
{Issuing Certificate Authority Certificate}
— END CERTIFICATE —
— BEGIN CERTIFICATE —
{Intermediate Certificate Authority Certificate}
— END CERTIFICATE —
— BEGIN CERTIFICATE —
{Root Certificate Authority Certificate}
— END CERTIFICATE — 

Verificare che il nuovo file di certificato con file concatenato non contenga spazi iniziali o finali, righe vuote e sia nell'ordine indicato sopra.

Carica certificato rilasciato dall'Autorità di certificazione

Verifica

Accedere alla console Web del nodo di CTB Manager e passare a Settings > TLS Certificate per visualizzare i dettagli del certificato, ad esempio una nuova data di scadenza, oppure per visualizzare i dettagli del certificato utilizzando il browser per visualizzare informazioni più dettagliate, ad esempio i numeri di serie.

Dettagli certificato CTB

Verificare che il nodo Broker CTB non presenti avvisi nell'interfaccia utente Web del nodo Gestore CTB.

Risoluzione dei problemi

Se il certificato è incompleto, ad esempio se mancano i certificati della catena, il nodo del nodo Broker CTB non è in grado di comunicare con il nodo Manager e presenta "Non visto da" nella colonna Stato dell'elenco dei nodi Broker.
Il nodo Broker continuerà a replicare e distribuire il traffico in questo stato.

Accedere alla CLI del nodo di CTB Manager ed eseguire il comando sudo grep -ic begin /var/lib/titan/titanium_frontend/ssl/cert.pem per visualizzare il numero di certificati presenti nel file cert.pem.

admin@ctb-manager:~$ sudo grep -ic begin /var/lib/titan/titanium_frontend/ssl/cert.pem
[sudo] password for admin: 
3 <-- Output 
admin@ctb-manager:~$ 

Il valore di output restituito deve essere uguale al numero di dispositivi CA nella catena più il gestore CTB.

Se si utilizza un certificato autofirmato, è previsto l'output 1.

L'output di 2 è previsto se l'infrastruttura PKI è costituita da una singola CA radice che è anche la CA emittente.

L'output di 3 è previsto se l'infrastruttura PKI è costituita da una CA radice e dalla CA emittente.

L'output di 4 è previsto se l'infrastruttura PKI è costituita da una CA radice, una CA subordinata e la CA emittente.

Confrontare l'output con la PKI elencata quando si visualizza il certificato in un'altra applicazione, ad esempio Microsoft Windows Crypto Shell Extensions.

Infrastruttura PKI

In questa immagine l'infrastruttura PKI include una CA radice e la CA emittente.

In questo scenario, il valore di output del comando dovrebbe essere 3.

Se l'output non soddisfa le aspettative, esaminare i passaggi nella sezione Creazione di un certificato con catena per determinare se un certificato è stato omesso.

Quando si visualizza un certificato in Microsoft Windows Crypto Shell Extensions è possibile che non tutti i certificati vengano presentati se il computer locale non dispone di informazioni sufficienti per verificare il certificato.

Utilizzare il comando sudo ctb-mayday dalla CLI per generare un bundle mayday per la revisione del TAC.