はじめに
このドキュメントでは、Cisco IOS® XE SD-WANデバイスでトークンベースの登録を使用する場合に、Umbrellaルート証明書を更新するプロセスについて説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- 公開キーインフラストラクチャ(PKI)に関する基礎知識。
- Cisco SD-WANテクノロジーの知識
このワークフローは、トークンベースのUmbrella登録を使用している場合にのみ使用されます。APIベースの登録を使用している場合は、ルート証明書をインストールするために、Field Notice FN74166に記載されている手順に従ってください。
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- C8000Vバージョン17.6.6
- vManageバージョン20.6.6
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
背景
Umbrellaは2024年5月29日からFQDN api.opendns.comの証明書を更新し、証明書は新しいルートca DigiCert Global Root G2によって署名されました。エッジデバイスのPKI証明書リストにこのルートcaが存在せず、トークンベースのUmbrella登録を使用する場合、Umbrella登録は失敗します。このドキュメントのワークフローでは、エッジルータにルートCAをインストールする方法について説明します。
実行手順
エッジデバイスにトークンベースのUmbrella登録があるかどうかを確認してください。設定はこのように表示されます。
parameter-map type umbrella global
token 83F1YHF457592596A3D8CF52YHDFSDRD
エッジデバイス登録プロセスを開始し、ルート証明書を取得してインストールするために必要なその他の設定。
parameter-map type umbrella global
vrf 10
dns-resolver umbrella >>>>required
ip nat inside source list nat-acl interface GigabitEthernet0/0/0 overload
interface GigabitEthernet0/0/0
ip dhcp client client-id ascii FGL233913F6
ip address 10.122.164.132 255.255.255.128
ip nat outside >>>>>
negotiation auto
end
エッジデバイスで、ルート証明書trustidrootx3_ca_092024.caが/bootflashに存在するかどうかを確認します。
cedge-ISR1100-4G#dir bootflash: | in .ca
30 -rw- 237 Aug 13 2024 08:47:55 +00:00 pki_certificates
25 -rw- 1294 Aug 13 2024 08:46:54 +00:00 trustidrootx3_ca_092024.ca
/bootflash/sdwanにあるエッジデバイスに、trustidrootx3_ca_092024.caという名前でこのルート証明書「DigiCert Global Root G2」をダウンロードします。
-----BEGIN CERTIFICATE-----
MIIDjjCCAnagAwIBAgIQAzrx5qcRqaC7KGSxHQn65TANBgkqhkiG9w0BAQsFADBh
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3
d3cuZGlnaWNlcnQuY29tMSAwHgYDVQQDExdEaWdpQ2VydCBHbG9iYWwgUm9vdCBH
MjAeFw0xMzA4MDExMjAwMDBaFw0zODAxMTUxMjAwMDBaMGExCzAJBgNVBAYTAlVT
MRUwEwYDVQQKEwxEaWdpQ2VydCBJbmMxGTAXBgNVBAsTEHd3dy5kaWdpY2VydC5j
b20xIDAeBgNVBAMTF0RpZ2lDZXJ0IEdsb2JhbCBSb290IEcyMIIBIjANBgkqhkiG
9w0BAQEFAAOCAQ8AMIIBCgKCAQEAuzfNNNx7a8myaJCtSnX/RrohCgiN9RlUyfuI
2/Ou8jqJkTx65qsGGmvPrC3oXgkkRLpimn7Wo6h+4FR1IAWsULecYxpsMNzaHxmx
1x7e/dfgy5SDN67sH0NO3Xss0r0upS/kqbitOtSZpLYl6ZtrAGCSYP9PIUkY92eQ
q2EGnI/yuum06ZIya7XzV+hdG82MHauVBJVJ8zUtluNJbd134/tJS7SsVQepj5Wz
tCO7TG1F8PapspUwtP1MVYwnSlcUfIKdzXOS0xZKBgyMUNGPHgm+F6HmIcr9g+UQ
vIOlCsRnKPZzFBQ9RnbDhxSJITRNrw9FDKZJobq7nMWxM4MphQIDAQABo0IwQDAP
BgNVHRMBAf8EBTADAQH/MA4GA1UdDwEB/wQEAwIBhjAdBgNVHQ4EFgQUTiJUIBiV
5uNu5g/6+rkS7QYXjzkwDQYJKoZIhvcNAQELBQADggEBAGBnKJRvDkhj6zHd6mcY
1Yl9PMWLSn/pvtsrF9+wX3N3KjITOYFnQoQj8kVnNeyIv/iPsGEMNKSuIEyExtv4
NeF22d+mQrvHRAiGfzZ0JFrabA0UWTW98kndth/Jsw1HKj2ZL7tcu7XUIOGZX1NG
Fdtom/DzMNU+MeKNhJ7jitralj41E6Vf8PlwUHBHQRFXGU7Aj64GxJUTFy8bJZ91
8rGOmaFvE7FBcf6IKshPECBV1/MUReXgRPTqh5Uykw7+U0b6LJ3/iyK5S9kJRaTe
pLiaWN0bfVKfjllDiIGknibVb63dDcY3fe0Dkhvld1927jyNxF1WW6LZZm6zNTfl
MrY=
-----END CERTIFICATE-----
/bootflash:trustidrootx3_ca_092024.caの下にある古いルート証明書の名前をtrustidrootx3_ca_092024.ca.bkpに変更して、この証明書を/bootflash/sdwanに移動します。
copy bootflash:trustidrootx3_ca_092024.ca bootflash:sdwan/trustidrootx3_ca_092024.ca.bkp
/bootflashからルート証明書trustidrootx3_ca_092024.caを削除します。
cedge-ISR1100-4G#delete bootflash:trustidrootx3_ca_092024.ca
/bootflash/sdwanにある新しいルート証明書trustidrootx3_ca_092024.caを/bootflashに移動します。
copy bootflash:sdwan/trustidrootx3_ca_092024.ca bootflash:
エッジデバイスをリロードします。
注：トークンベースのUmbrella登録がある場合は、このプロセスに従う必要があります。APIベースの登録を使用する場合は、このドキュメントで参照されているField Noticeのプロセスに従う必要があります。
トラブルシューティング
これらのデバッグをエッジデバイスで有効にして、新しいルート証明書がインストールされているかどうかを確認できます。
cedge-ISR1100-4G#debug umbrella device-registration
ログを表示するには、show loggingを実行するか、/tmp/rp/traceの下のファイルIOSRP_R0を確認します。これらのログが表示されます。
成功
2024/08/13 08:36:18.289855465 {IOSRP_R0-0}{1}: [iosrp] [24596]: UUID: 0, ra: 0, (info): *Aug 13 08:36:18.287: %PKI-6-TRUSTPOINT_CREATE: Trustpoint: trustidrootx3_ca_092024 created succesfully
失敗
2024/08/13 08:36:20.838420795 {IOSRP_R0-0}{1}: [iosrp] [24596]: UUID: 0, ra: 0, (warn): *Aug 13 08:36:20.838: %PKI-4-TRUSTPOOL_DOWNLOAD_FAILURE: Trustpool Download failed
検証
エッジデバイスに証明書が正常にインストールされたかどうかを確認するには、次のコマンドを使用します。
cedge-ISR1100-4G#show crypto pki certificates
CA Certificate
Status: Available
Certificate Serial Number (hex): 033AF1E6A711A9A0BB2864B11D09FAE5
Certificate Usage: Signature
Issuer:
cn=DigiCert Global Root G2
ou=www.digicert.com
o=DigiCert Inc
c=US
Subject:
cn=DigiCert Global Root G2
ou=www.digicert.com
o=DigiCert Inc
c=US
Validity Date:
start date: 12:00:00 UTC Aug 1 2013
end date: 12:00:00 UTC Jan 15 2038
Associated Trustpoints: trustidrootx3_ca_092024
Storage: nvram:DigiCertGlob#FAE5CA.cer
cedge-ISR1100-4G#show crypto pki trustpoints
Trustpoint SLA-TrustPoint:
Subject Name:
cn=Cisco Licensing Root CA
o=Cisco
Serial Number (hex): 01
Certificate configured.
Trustpoint trustidrootx3_ca_092024:
Subject Name:
cn=DigiCert Global Root G2
ou=www.digicert.com
o=DigiCert Inc
c=US
Serial Number (hex): 033AF1E6A711A9A0BB2864B11D09FAE5
Certificate configured.
関連情報
フィードバック