본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.
Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.
이 문서에서는 tools.cisco.com을 호스팅하는 웹 서버가 다른 루트 CA(Certificate Authority) 인증서로 마이그레이션된 2016년 3월과 2018년 10월에 발생한 변경 사항을 해결하는 방법에 대해 설명합니다.마이그레이션 후 일부 ASA(Adaptive Security Appliance) 디바이스는 ID 토큰을 등록하거나 기존 권한 부여를 갱신하려고 할 때(tools.cisco.com에서 호스팅됨) Smart Software Licensing Portal(Smart Software Licensing Portal)에 연결하지 못합니다.이는 인증서 관련 문제로 확인되었습니다.특히, ASA에 표시되는 새 인증서는 ASA에서 예상하는 것과 다른 중간 CA에 의해 서명되며 사전 로드되었습니다.
ASAv를 Smart Software Licensing Portal에 등록하려고 시도하면 연결 또는 통신 실패로 등록이 실패합니다.show license registration 및 call-home test profile license 명령은 이러한 출력을 표시합니다.
ASAv# show license registration Registration Status: Retry In Progress. Registration Start Time: Mar 22 13:25:46 2016 UTC Registration Status: Retry In Progress. Registration Start Time: Mar 22 13:25:46 2016 UTC Last Retry Start Time: Mar 22 13:26:32 2016 UTC. Next Scheduled Retry Time: Mar 22 13:45:31 2016 UTC. Number of Retries: 1. Last License Server response time: Mar 22 13:26:32 2016 UTC. Last License Server response message: Communication message send response error
ASAv# call-home test profile License INFO: Sending test message to https://tools.cisco.com/its/service/oddce/services/DDCEService... ERROR: Failed: CONNECT_FAILED(35)
그러나 ASAv는 tools.cisco.com을 확인하고 TCP ping을 사용하여 TCP 포트 443에서 연결할 수 있습니다.
등록을 시도한 후 ASAv의 Syslog 출력에 다음이 표시됩니다.
%ASA-3-717009: Certificate validation failed. No suitable trustpoints found to validate
certificate serial number: 250CE8E030612E9F2B89F7058FD, subject name:
cn=VeriSign Class 3 Public Primary Certification Authority - G5,ou=(c) 2006 VeriSign\, Inc.
- For authorized use only,ou=VeriSign Trust Network,o=VeriSign\, Inc.,c=US, issuer name:
ou=Class 3 Public Primary Certification Authority,o=VeriSign\, Inc.,c=US . %ASA-3-717009: Certificate validation failed. No suitable trustpoints found to validate
certificate serial number: 513FB9743870B73440418699FF, subject name:
cn=Symantec Class 3 Secure Server CA - G4,ou=Symantec Trust Network,o=Symantec
Corporation,c=US, issuer name: cn=VeriSign Class 3 Public Primary Certification Authority
- G5,ou=(c) 2006 VeriSign\, Inc. - For authorized use only,ou=VeriSign Trust Network,
o=VeriSign\, Inc.,c=US .
자세한 내용은 다른 등록을 시도하는 동안 이 debug 명령을 실행합니다.보안 소켓 레이어 오류가 표시됩니다.
debug license 255 debug license agent all debug call-home all
debug ssl 255
특히 이 메시지는 해당 출력의 일부로 표시됩니다.
error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify
failed@s3_clnt.c:1492
기본 ASAv 컨피그레이션에는 인증서가 로드되고 주체 이름 "cn=Verisign Class 3 Secure Server CA - G3"에 발급된 _SmartCallHome_ServerCA라는 신뢰 지점이 있습니다.
ASAv# show crypto ca certificate CA Certificate Status: Available Certificate Serial Number: 6ecc7aa5a7032009b8cebc2d491 Certificate Usage: General Purpose Public Key Type: RSA (2048 bits) Signature Algorithm: SHA1 with RSA Encryption Issuer Name: cn=VeriSign Class 3 Public Primary Certification Authority - G5 ou=(c) 2006 VeriSign\, Inc. - For authorized use only ou=VeriSign Trust Network o=VeriSign\, Inc. c=US Subject Name: cn=VeriSign Class 3 Secure Server CA - G3 ou=Terms of use at https://www.verisign.com/rpa (c)10 ou=VeriSign Trust Network o=VeriSign\, Inc. c=US OCSP AIA: URL: http://ocsp.verisign.com CRL Distribution Points: [1] http://crl.verisign.com/pca3-g5.crl Validity Date: start date: 00:00:00 UTC Feb 8 2010 end date: 23:59:59 UTC Feb 7 2020 Associated Trustpoints: _SmartCallHome_ServerCA
그러나 이전 syslogs에서 ASA는 "cn=Symantec Class 3 Secure Server CA - G4"라는 중간 시스템에서 서명한 Smart Software Licensing Portal에서 인증서를 얻음을 나타냅니다.
참고:제목 이름은 비슷하지만 두 가지 차이점이 있습니다. Verisign과 Symantec은 처음에, G3은 끝에 각각 G4가 있습니다.
ASAv는 체인을 검증하기 위해 적절한 중간 및/또는 루트 인증서가 포함된 신뢰 풀을 다운로드해야 합니다.
버전 9.5.2 이상에서는 ASAv에 PM 디바이스 로컬 시간 10:00에 자동 가져오기로 구성된 신뢰 풀이 있습니다.
ASAv# sh run crypto ca trustpool
crypto ca trustpool policy
auto-import
ASAv# sh run all crypto ca trustpool
crypto ca trustpool policy
revocation-check none
crl cache-time 60
crl enforcenextupdate
auto-import
auto-import url http://www.cisco.com/security/pki/trs/ios_core.p7b
auto-import time 22:00:00
초기 설치이고 DNS(Domain Name System) 조회 및 인터넷 연결이 아직 시작되지 않은 경우 자동 가져오기가 성공하지 못하여 수동으로 완료해야 합니다.
9.4.x와 같은 이전 버전에서는 신뢰 풀 자동 가져오기가 디바이스에 구성되어 있지 않으므로 수동으로 가져와야 합니다.
모든 버전에서 이 명령은 신뢰 풀 및 관련 인증서를 가져옵니다.
ASAv# crypto ca trustpool import url http://www.cisco.com/security/pki/trs/ios_core.p7b Root file signature verified. You are about to update the current trusted certificate pool with the 17145 byte file at http://www.cisco.com/security/pki/trs/ios_core.p7b Do you want to continue? (y/n) Trustpool import: attempted: 14 installed: 14 duplicates: 0 expired: 0 failed: 0
수동 명령으로 또는 10:00 PM 로컬 시간 이후에 대기하여 신뢰 풀을 가져오면 이 명령은 신뢰 풀에 설치된 인증서가 있는지 확인합니다.
ASAv# show crypto ca trustpool policy 14 trustpool certificates installed Trustpool auto import statistics: Last import result: FAILED Next scheduled import at 22:00:00 UTC Wed Mar 23 2016 Trustpool Policy Trustpool revocation checking is disabled CRL cache time: 60 seconds CRL next update field: required and enforced Automatic import of trustpool certificates is enabled Automatic import URL: http://www.cisco.com/security/pki/trs/ios_core.p7b Download time: 22:00:00 Policy Overrides: None configured
참고:이전 출력에서는 마지막으로 DNS가 자동으로 시도했을 때 DNS가 작동하지 않아 마지막 자동 업데이트 가져오기가 실패했으므로 마지막 자동 가져오기 결과가 실패한 것으로 표시됩니다.그러나 수동 신뢰 풀 업데이트가 실행되어 신뢰 풀을 성공적으로 업데이트했습니다(따라서 설치된 인증서 14개가 표시됨).
신뢰 풀을 설치한 후 ASAv를 Smart Software Licensing 포털에 등록하기 위해 token registration 명령을 다시 실행할 수 있습니다.
ASAv# license smart register idtoken id_token force
ASAv가 Smart Software Licensing Portal에 이미 등록되어 있지만 권한 부여 갱신이 실패한 경우 수동으로 시도할 수도 있습니다.
ASAv# license smart renew auth
tools.cisco.com의 루트 CA 인증서가 2018년 10월 5일 금요일에 변경되었습니다.
현재 구축된 ASAv 버전 9.6(2) 이상과 ASA를 실행하는 Firepower 2100은 http://www.cisco.com/security/pki/trs/ios_core.p7b에 대한 통신이 허용되지 않으면 이 변경 사항의 영향을 받지 않습니다. 앞에서 언급한 모든 ASA Smart Licensed 플랫폼에서 기본적으로 활성화된 인증서 자동 가져오기 기능이 있습니다. 'show crypto ca trustpool'의 출력에는 'QuoVadis Root CA 2' 인증서가 포함되어 있습니다.
CA Certificate Fingerprint: 5e397bddf8baec82e9ac62ba0c54002b Issuer Name: cn=QuoVadis Root CA 2 o=QuoVadis Limited c=BM Subject Name: cn=QuoVadis Root CA 2 o=QuoVadis Limited c=BM
새 구축의 경우 'crypto ca trustpool import default' 명령을 실행하고 QuoVadis 인증서를 포함하는 기본 Cisco 인증서 번들을 다운로드할 수 있습니다. 그래도 작동하지 않으면 인증서를 수동으로 설치할 수 있습니다.
asa(config)# crypto ca trustpoint QuoVadisRootCA2 asa(config-ca-trustpoint)# enrollment terminal asa(config-ca-trustpoint)# crl configure asav(config-ca-crl)# crypto ca authenticate QuoVadisRootCA2 Enter the base 64 encoded CA certificate. End with the word "quit" on a line by itself -----BEGIN CERTIFICATE----- MIIFtzCCA5+gAwIBAgICBQkwDQYJKoZIhvcNAQEFBQAwRTELMAkGA1UEBhMCQk0x GTAXBgNVBAoTEFF1b1ZhZGlzIExpbWl0ZWQxGzAZBgNVBAMTElF1b1ZhZGlzIFJv b3QgQ0EgMjAeFw0wNjExMjQxODI3MDBaFw0zMTExMjQxODIzMzNaMEUxCzAJBgNV BAYTAkJNMRkwFwYDVQQKExBRdW9WYWRpcyBMaW1pdGVkMRswGQYDVQQDExJRdW9W YWRpcyBSb290IENBIDIwggIiMA0GCSqGSIb3DQEBAQUAA4ICDwAwggIKAoICAQCa GMpLlA0ALa8DKYrwD4HIrkwZhR0In6spRIXzL4GtMh6QRr+jhiYaHv5+HBg6XJxg Fyo6dIMzMH1hVBHL7avg5tKifvVrbxi3Cgst/ek+7wrGsxDp3MJGF/hd/aTa/55J WpzmM+Yklvc/ulsrHHo1wtZn/qtmUIttKGAr79dgw8eTvI02kfN/+NsRE8Scd3bB rrcCaoF6qUWD4gXmuVbBlDePSHFjIuwXZQeVikvfj8ZaCuWw419eaxGrDPmF60Tp +ARz8un+XJiM9XOva7R+zdRcAitMOeGylZUtQofX1bOQQ7dsE/He3fbE+Ik/0XX1 ksOR1YqI0JDs3G3eicJlcZaLDQP9nL9bFqyS2+r+eXyt66/3FsvbzSUr5R/7mp/i Ucw6UwxI5g69ybR2BlLmEROFcmMDBOAENisgGQLodKcftslWZvB1JdxnwQ5hYIiz PtGo/KPaHbDRsSNU30R2be1B2MGyIrZTHN81Hdyhdyox5C315eXbyOD/5YDXC2Og /zOhD7osFRXql7PSorW+8oyWHhqPHWykYTe5hnMz15eWniN9gqRMgeKh0bpnX5UH oycR7hYQe7xFSkyyBNKr79X9DFHOUGoIMfmR2gyPZFwDwzqLID9ujWc9Otb+fVuI yV77zGHcizN300QyNQliBJIWENieJ0f7OyHj+OsdWwIDAQABo4GwMIGtMA8GA1Ud EwEB/wQFMAMBAf8wCwYDVR0PBAQDAgEGMB0GA1UdDgQWBBQahGK8SEwzJQTU7tD2 A8QZRtGUazBuBgNVHSMEZzBlgBQahGK8SEwzJQTU7tD2A8QZRtGUa6FJpEcwRTEL MAkGA1UEBhMCQk0xGTAXBgNVBAoTEFF1b1ZhZGlzIExpbWl0ZWQxGzAZBgNVBAMT ElF1b1ZhZGlzIFJvb3QgQ0EgMoICBQkwDQYJKoZIhvcNAQEFBQADggIBAD4KFk2f BluornFdLwUvZ+YTRYPENvbzwCYMDbVHZF34tHLJRqUDGCdViXh9duqWNIAXINzn g/iN/Ae42l9NLmeyhP3ZRPx3UIHmfLTJDQtyU/h2BwdBR5YM++CCJpNVjP4iH2Bl fF/nJrP3MpCYUNQ3cVX2kiF495V5+vgtJodmVjB3pjd4M1IQWK4/YY7yarHvGH5K WWPKjaJW1acvvFYfzznB4vsKqBUsfU16Y8Zsl0Q80m/DShcK+JDSV6IZUaUtl0Ha B0+pUNqQjZRG4T7wlP0QADj1O+hA4bRuVhogzG9Yje0uRY/W6ZM/57Es3zrWIozc hLsib9D45MY56QSIPMO661V6bYCZJPVsAfv4l7CUW+v90m/xd2gNNWQjrLhVoQPR TUIZ3Ph1WVaj+ahJefivDrkRoHy3au000LYmYjgahwz46P0u05B/B5EqHdZ+XIWD mbA4CD/pXvk1B+TJYm5Xf6dQlfe6yJvmjqIBxdZmv3lh8zwc4bmCXF2gw+nYSL0Z ohEUGW6yhhtoPkg3Goi3XZZenMfvJ2II4pEZXNLxId26F0KCl3GBUzGpn/Z9Yr9y 4aOTHcyKJloJONDO1w2AFrR4pTqHTI2KpdVGl/IsELm8VCLAAVBpQ570su9t+Oza 8eOx79+Rj1QqCyXBJhnEUhAFZdWCEOrCMc0u -----END CERTIFICATE----- quit INFO: Certificate has the following attributes: Fingerprint: 5e397bdd f8baec82 e9ac62ba 0c54002b Do you accept this certificate? [yes/no]: yes Trustpoint CA certificate accepted. % Certificate successfully imported
이 문제는 FXOS(Firepower eXtensible Operating System)를 사용하여 스마트 라이센싱 정보를 제공하는 ASA를 실행하는 필드의 일부 4100/9300에 영향을 주었습니다.
영향을 받는 단위:
FP9300-1-A-A-A /license # show license all Smart Licensing Status ====================== Smart Licensing is ENABLED Registration: Status: REGISTERED Smart Account: TAC Cisco Systems, Inc. Virtual Account: CALO Export-Controlled Functionality: Allowed Initial Registration: SUCCEEDED on Jul 01 18:37:38 2018 UTC Last Renewal Attempt: FAILED on Oct 09 17:32:59 2018 UTC Failure reason: Failed to authenticate server
이를 해결하려면 새 신뢰 지점을 생성하고 FXOS에 인증서 데이터를 입력해야 합니다.
FPR-2-A /license # scope security
FPR-2-A /security # enter trustpoint quovadis
FPR-2-A /security/trustpoint* # set certchain
Enter lines one at a time. Enter ENDOFBUF to finish. Press ^C to abort.
Trustpoint Certificate Chain: (THIS PART NEEDS TO BE COPY/PASTED)
>
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
>ENDOFBUF <---manually type this on a new line after the ----END OF CERTIFICATE---- line and press ENTER
그런 다음 변경 사항을 커밋한 다음 라이센스를 갱신합니다.
FPR-2-A /security/trustpoint* # comm FPR-2-A /security/trustpoint # scope license FPR-2-A /license # scope licdebug FPR-2-A /license/licdebug # renew
이제 라이센스가 갱신되었는지 확인해야 합니다.
FP9300-1-A-A-A /license/licdebug # show license all Smart Licensing Status ====================== Smart Licensing is ENABLED Registration: Status: REGISTERED Smart Account: TAC Cisco Systems, Inc. Virtual Account: CALO Export-Controlled Functionality: Allowed Initial Registration: SUCCEEDED on Jul 01 18:37:38 2018 UTC Last Renewal Attempt: SUCCEEDED on Oct 09 17:39:07 2018 UTC Next Renewal Attempt: Apr 07 17:39:08 2019 UTC Registration Expires: Oct 09 17:33:07 2019 UTC License Authorization: Status: AUTHORIZED on Oct 09 17:39:12 2018 UTC Last Communication Attempt: SUCCESS on Oct 09 17:39:12 2018 UTC Next Communication Attempt: Nov 08 17:39:12 2018 UTC Communication Deadline: Jan 07 17:33:11 2019 UTC