토큰 기반 컨피그레이션을 위한 Umbrella 루트 인증서 갱신

다운로드 옵션

PDF (288.4 KB)
다양한 디바이스에서 Adobe Reader로 보기
ePub (80.4 KB)
iPhone, iPad, Android, Sony Reader 또는 Windows Phone의 다양한 앱에서 보기
Mobi (Kindle) (66.3 KB)
Kindle 디바이스에서 보기 또는 다양한 디바이스의 Kindle 앱에서 보기

업데이트:2024년 10월 16일

문서 ID:222481

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 토큰 기반 등록이 Cisco IOS® XE SD-WAN 디바이스에 사용될 때 Umbrella 루트 인증서를 갱신하는 프로세스에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

PKI(Public Key Infrastructure)에 대한 기본 지식
Cisco SD-WAN 기술에 대한 지식

이 워크플로는 토큰 기반 Umbrella 등록을 사용하는 경우에만 사용됩니다. API 기반 등록을 사용하는 경우, Field Notice FN74166에 설명된 단계를 따라 루트 인증서를 설치합니다.

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

C8000V 버전 17.6.6
vManage 버전 20.6.6

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경

Umbrella에서 2024년 5월 29일부터 FQDN api.opendns.com에 대한 인증서를 갱신했으며 해당 인증서는 새 root-ca DigiCert Global Root G2에 의해 서명되었습니다. Edge 디바이스에 PKI 인증서 목록에 이 root-ca가 없고 토큰 기반 Umbrella 등록을 사용하는 경우 Umbrella 등록이 실패합니다. 이 문서의 워크플로에서는 Edge 라우터에 root-ca를 설치하는 방법을 다룹니다.

수행 단계

Edge 장치에 토큰 기반 Umbrella 등록이 있는지 확인하십시오. 이것이 컨피그레이션의 모습입니다.

parameter-map type umbrella global
 token 83F1YHF457592596A3D8CF52YHDFSDRD

Edge 디바이스 등록 프로세스를 시작하고 루트 인증서를 가져와 설치하는 데 필요한 기타 컨피그레이션입니다.

parameter-map type umbrella global
  vrf 10
  dns-resolver umbrella  >>>>required

ip nat inside source list nat-acl interface GigabitEthernet0/0/0 overload

interface GigabitEthernet0/0/0
 ip dhcp client client-id ascii FGL233913F6
 ip address 10.122.164.132 255.255.255.128
 ip nat outside    >>>>>
 negotiation auto
end

에지 디바이스에서 루트 인증서 trustidrootx3_ca_092024.ca가 위치 /bootflash에 존재하는지 확인합니다.

cedge-ISR1100-4G#dir bootflash: | in .ca
30 -rw- 237 Aug 13 2024 08:47:55 +00:00 pki_certificates
25 -rw- 1294 Aug 13 2024 08:46:54 +00:00 trustidrootx3_ca_092024.ca

위치 /bootflash/sdwan의 Edge 디바이스에서 이 루트 인증서 "DigiCert Global Root G2"를 이름 trustidrootx3_ca_092024.ca로 다운로드합니다.

이전 루트 인증서의 이름을 trustidrootx3_ca_092024.ca.bkp로 변경하여 /bootflash:trustidrootx3_ca_092024.ca에서 /bootflash/sdwan으로 이동합니다.

copy bootflash:trustidrootx3_ca_092024.ca bootflash:sdwan/trustidrootx3_ca_092024.ca.bkp

/bootflash에서 루트 인증서 trustidrootx3_ca_092024.ca를 삭제합니다.

cedge-ISR1100-4G#delete bootflash:trustidrootx3_ca_092024.ca

/bootflash/sdwan의 새 루트 인증서 trustidrootx3_ca_092024.ca를 /bootflash로 /bootflash.

copy bootflash:sdwan/trustidrootx3_ca_092024.ca bootflash:

에지 디바이스를 다시 로드합니다.

참고: 토큰 기반 Umbrella 등록이 있는 경우 이 프로세스를 따라야 합니다. API 기반 등록을 사용하는 경우 이 문서에서 참조하는 필드 알림의 프로세스를 따라야 합니다.

문제 해결

이러한 디버그는 에지 디바이스에서 활성화하여 새 루트 인증서가 설치되는지 확인할 수 있습니다.

cedge-ISR1100-4G#debug umbrella device-registration

로그를 보려면 로깅을 표시하거나 /tmp/rp/trace의 IOSRP_R0 파일을 확인하십시오. 이러한 로그가 표시됩니다.

성공

2024/08/13 08:36:18.289855465 {IOSRP_R0-0}{1}: [iosrp] [24596]: UUID: 0, ra: 0, (info):  *Aug 13 08:36:18.287: %PKI-6-TRUSTPOINT_CREATE: Trustpoint: trustidrootx3_ca_092024 created succesfully

실패

2024/08/13 08:36:20.838420795 {IOSRP_R0-0}{1}: [iosrp] [24596]: UUID: 0, ra: 0, (warn):  *Aug 13 08:36:20.838: %PKI-4-TRUSTPOOL_DOWNLOAD_FAILURE: Trustpool Download failed

확인

인증서가 Edge 디바이스에 성공적으로 설치되었는지 확인하려면 다음 명령을 사용할 수 있습니다.

cedge-ISR1100-4G#show crypto pki certificates 
CA Certificate
  Status: Available
  Certificate Serial Number (hex): 033AF1E6A711A9A0BB2864B11D09FAE5
  Certificate Usage: Signature
  Issuer: 
    cn=DigiCert Global Root G2
    ou=www.digicert.com
    o=DigiCert Inc
    c=US
  Subject: 
    cn=DigiCert Global Root G2
    ou=www.digicert.com
    o=DigiCert Inc
    c=US
  Validity Date: 
    start date: 12:00:00 UTC Aug 1 2013
    end   date: 12:00:00 UTC Jan 15 2038
  Associated Trustpoints: trustidrootx3_ca_092024 
  Storage: nvram:DigiCertGlob#FAE5CA.cer

cedge-ISR1100-4G#show crypto pki trustpoints 
Trustpoint SLA-TrustPoint:
    Subject Name: 
    cn=Cisco Licensing Root CA
    o=Cisco
          Serial Number (hex): 01
    Certificate configured.


Trustpoint trustidrootx3_ca_092024:
    Subject Name: 
    cn=DigiCert Global Root G2
    ou=www.digicert.com
    o=DigiCert Inc
    c=US
          Serial Number (hex): 033AF1E6A711A9A0BB2864B11D09FAE5
    Certificate configured.

토큰 기반 컨피그레이션을 위한 Umbrella 루트 인증서 갱신

다운로드 옵션

편견 없는 언어

이 번역에 관하여

목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

배경

수행 단계

문제 해결

확인

관련 정보

개정 이력

Cisco 엔지니어가 작성

이 문서가 도움이 되셨습니까?

지원 문의

이 문서가 적용되는 제품