Certificaatvernieuwingen configureren op ISE

Inleiding

In dit document worden de best practices en proactieve procedures beschreven voor het vernieuwen van certificaten in de Cisco Identity Services Engine (ISE).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• X509-certificaten
• Configuratie van een Cisco ISE met certificaten

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco ISE release 3.0.0.458
• Toestel of VMware

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

  Opmerking: Dit document is niet bedoeld als diagnostische gids voor certificaten.

In dit document worden de best practices en proactieve procedures beschreven om certificaten te verlengen in de Cisco Identity Services Engine (ISE). Het beoordeelt ook hoe u alarmen en meldingen kunt instellen, zodat beheerders worden gewaarschuwd voor dreigende gebeurtenissen zoals het verlopen van certificaten. Als ISE-beheerder kom je uiteindelijk het feit tegen dat ISE-certificaten vervallen. Als uw ISE-server een verlopen certificaat heeft, kunnen er ernstige problemen ontstaan, tenzij u het verlopen certificaat vervangt door een nieuw, geldig certificaat.

  Opmerking: als het certificaat dat wordt gebruikt voor het Extensible Authentication Protocol (EAP) verloopt, kunnen alle verificaties mislukken omdat clients het ISE-certificaat niet meer vertrouwen. Als het ISE-beheercertificaat verloopt, is het risico nog groter: een beheerder kan zich niet meer aanmelden bij de ISE en de gedistribueerde implementatie kan niet meer functioneren en repliceren.

De ISE-beheerder moet een nieuw, geldig certificaat installeren op de ISE voordat het oude certificaat verloopt. Deze proactieve aanpak voorkomt of minimaliseert downtime en vermijdt impact op uw eindgebruikers. Zodra de tijdsperiode van het nieuw geïnstalleerde certificaat begint, kunt u de EAP/Admin of een andere rol op het nieuwe certificaat inschakelen.

U kunt de ISE zo configureren dat deze alarmen genereert en de beheerder waarschuwt om nieuwe certificaten te installeren voordat de oude certificaten verlopen.

  Opmerking: In dit document wordt het ISE-beheercertificaat gebruikt als een zelf ondertekend certificaat om het effect van de verlenging van het certificaat aan te tonen, maar deze aanpak wordt niet aanbevolen voor een productiesysteem. Het is beter om een CA-certificaat te gebruiken voor zowel de EAP- als de beheerdersrol.

Configureren

ISE Self-signed Certificates bekijken

Wanneer de ISE is geïnstalleerd, genereert deze een zelf ondertekend certificaat. Het zelf ondertekende certificaat wordt gebruikt voor administratieve toegang en voor communicatie binnen de gedistribueerde implementatie (HTTPS) en voor gebruikersverificatie (EAP). Gebruik in een live systeem een CA-certificaat in plaats van een zelf ondertekend certificaat.

  Tip: raadpleeg de sectie Certificaatbeheer in Cisco ISE van de Hardware Installation Guide van de Cisco Identity Services Engine, versie 3.0 voor meer informatie.

Het formaat voor een ISE-certificaat moet Privacy Enhanced Mail (PEM) of Distinguished Encoding Rules (DER) zijn.

Als u het eerste zelf ondertekende certificaat wilt bekijken, gaat u naar Beheer > Systeem > Certificaten > Systeemcertificaten in de ISE GUI, zoals in deze afbeelding wordt weergegeven.

Als u een servercertificaat op de ISE installeert via een CSR (Certificate Signing Request) en het certificaat voor het beheerdersprotocol of EAP-protocol wijzigt, is het zelfondertekende servercertificaat nog steeds aanwezig, maar heeft het de status Niet in gebruik.

  Let op: voor wijzigingen in het beheerdersprotocol is een herstart van de ISE-services vereist, waardoor een paar minuten downtime ontstaat. EAP-protocolwijzigingen leiden niet tot een herstart van de ISE-services en veroorzaken geen downtime.

Bepaal wanneer het certificaat moet worden gewijzigd

Stel dat het geïnstalleerde certificaat binnenkort verloopt. Is het beter om het certificaat te laten verlopen voordat u het verlengt of om het certificaat te wijzigen voordat het verloopt? U moet het certificaat wijzigen voordat het verloopt, zodat u tijd hebt om de certificaatswap te plannen en eventuele downtime als gevolg van de swap te beheren.

Wanneer moet u het certificaat wijzigen? Verkrijg een nieuw certificaat met een startdatum die voorafgaat aan de vervaldatum van het oude certificaat. De tijdsperiode tussen deze twee datums is het wijzigingsvenster.

  Let op: Als u Admin inschakelt, wordt de service opnieuw gestart op de ISE-server en krijgt u een paar minuten downtime.

Deze afbeelding toont de informatie voor een certificaat dat binnenkort verloopt:

Aanvraag voor ondertekening van certificaat genereren

In deze procedure wordt beschreven hoe u het certificaat kunt verlengen door middel van een CSR:

1. Navigeer in de ISE-console naar Beheer > Systeem > Certificaten > Certificaatondertekeningsverzoeken en klik op Certificaatondertekeningsverzoek genereren:
   
   
2. De minimale informatie die u moet invoeren in het tekstveld Certificaatonderwerp is CN=ISEfqdn, waarbij ISEfqdn de volledig gekwalificeerde domeinnaam (FQDN) van de ISE is. Voeg extra velden zoals O (Organisatie), OU (Organisatorische Eenheid) of C (Land) toe aan het certificaatonderwerp met behulp van komma's:
   
   
   
3. Een van de tekstvelden van de alternatieve naam van het onderwerp (SAN) moet de ISE FQDN herhalen. U kunt een tweede SAN-veld toevoegen als u alternatieve namen of een wildcard-certificaat wilt gebruiken.
   
   
4. Klik op Genereren, een pop-upvenster geeft aan of de CSR-velden correct zijn ingevuld of niet:
   
   
   
   
5. Als u de CSR wilt exporteren, klikt u op Certificaatondertekeningsverzoeken in het linkerdeelvenster, selecteert u uw CSR en klikt u op Exporteren:
   
   
6. De CSR wordt opgeslagen op uw computer. Stuur het naar uw CA voor ondertekening.

Certificaat installeren

Zodra u het definitieve certificaat van uw CA hebt ontvangen, moet u het certificaat toevoegen aan de ISE:

1. Navigeer in de ISE-console naar Beheer > Systeem >Certificaten>Certificaatondertekeningsverzoeken, selecteer het selectievakje op CRS en klik op Certificaat binden:
   
   
   
   
2. Voer in het tekstveld Vriendelijke naam een eenvoudige, duidelijke beschrijving van het certificaat in en druk op Verzenden.
   
   

     Opmerking: Schakel het EAP- of beheerdersprotocol momenteel niet in.

3. Onder Systeemcertificaat hebt u een nieuw certificaat dat niet in gebruik is, zoals hier wordt weergegeven:
   
   
4. Omdat het nieuwe certificaat is geïnstalleerd voordat het oude verloopt, ziet u een fout die een datumbereik in de toekomst meldt:
   
   
   
   
5. Klik op Ja om door te gaan. Het certificaat is nu geïnstalleerd, maar niet in gebruik, zoals in het groen is aangegeven.
   
   

  Opmerking: als u zelf ondertekende certificaten gebruikt in een gedistribueerde implementatie, moet het primaire zelf ondertekende certificaat worden geïnstalleerd in het vertrouwde certificaatarchief van de secundaire ISE-server. Het secundaire zelf ondertekende certificaat moet ook worden geïnstalleerd in het vertrouwde certificaatarchief van de primaire ISE-server. Hierdoor kunnen de ISE-servers elkaar wederzijds verifiëren.  Zonder dit kan de implementatie worden onderbroken. Als u certificaten van een externe certificeringsinstantie verlengt, controleert u of de hoofdcertificaatketen is gewijzigd en werkt u het vertrouwde certificaatarchief in de ISE dienovereenkomstig bij. In beide scenario's moet u ervoor zorgen dat de ISE-knooppunten, eindpuntcontrolesystemen en aanvragers de root-certificaatketen kunnen valideren.

Alerteringssysteem configureren

De Cisco ISE meldt u wanneer de vervaldatum van een lokaal certificaat binnen 90 dagen valt. Een dergelijke voorafgaande kennisgeving helpt u verlopen certificaten te voorkomen, de wijziging van het certificaat te plannen en downtime te voorkomen of te minimaliseren.

De melding verschijnt op verschillende manieren:

• De statuspictogrammen voor het verlopen van kleuren worden weergegeven op de pagina Lokale certificaten.
  
  
• Vervalmeldingen worden weergegeven in het Cisco ISE System Diagnostic-rapport.
  
  
• Vervaltijd alarmen worden gegenereerd op 90 dagen en 60 dagen, dan dagelijks in de laatste 30 dagen voor de vervaldatum.

Configureer de ISE voor e-mailmeldingen van vervalwaarschuwingen. Navigeer in de ISE-console naar Beheer > Systeem > Instellingen > SMTP-server, identificeer de SMTP-server (Simple Mail Transfer Protocol) en definieer de andere serverinstellingen zodat e-mailmeldingen worden verzonden voor de alarmen:

Er zijn twee manieren waarop u meldingen kunt instellen:

1. Beheerderstoegang gebruiken om beheerders op de hoogte te stellen van:
   
   
   1. Navigeer naar Beheer > Systeem > Beheerderstoegang > Beheerders > Beheerders.
      
      
   2. Schakel het selectievakje Systeemalarmen opnemen in e-mails in voor de beheerdersgebruikers die alarmmeldingen moeten ontvangen. Het e-mailadres voor de afzender van de alarmmeldingen is gecodeerd als ise@hostname.
      
      
      
      
2. Configureer de instellingen van het ISE-alarm om gebruikers op de hoogte te stellen:
   
   
   1. Navigeer naar Beheer > Systeem > Instellingen > Alarminstellingen > Alarmconfiguratie, zoals weergegeven in deze afbeelding.
      
      
      
      

        Opmerking: Schakel de status voor een categorie uit als u wilt voorkomen dat er alarmen in die categorie verschijnen.

   2. Selecteer Certificaatvervaldatum en klik vervolgens op Alarmmelding. Voer de e-mailadressen in van de gebruikers die op de hoogte moeten worden gebracht en sla de configuratiewijziging op. Veranderingen kunnen tot 15 minuten duren voordat ze actief zijn.
      
      

openssl x509 -in certificate.pem -noout -text
openssl verify certificate.pem

openssl x509 -in certificate.der -inform DER -outform PEM -out certificate.pem