In dit document wordt het proces beschreven voor het inschrijven van een TLS-certificaat (Transport Layer Security) via het ACME-protocol (Automated Certificate Management Environment) op het FTD-platform (Secure Firewall Firepower Threat Defense).
Cisco raadt u aan kennis te hebben over deze onderwerpen:
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
De huidige vereisten en beperkingen voor ACME-inschrijving op FTD voor Secure Firewall omvatten:
Bij het downgraden naar een Secure Firewall FTD-versie die geen ACME-inschrijving ondersteunt (versie 7.7 of eerder):
Certificaten die zijn ingeschreven via ACME zijn nog steeds toegankelijk; hun privésleutels worden echter ontkoppeld na de eerste opslag en herstart na de downgrade.
Als een downgrade nodig is, gebruikt u de aanbevolen tijdelijke oplossing:
Het ACME-protocol is bedoeld om het beheer van TLS-certificaten voor netwerkbeheerders te vereenvoudigen. Via ACME kunnen beheerders de taken automatiseren die gepaard gaan met het verkrijgen en vernieuwen van TLS-certificaten. Deze automatisering is vooral handig bij het werken met certificaatautoriteiten (CA's) zoals Let's Encrypt, die gratis, geautomatiseerde en openbaar toegankelijke certificaten bieden via het ACME-protocol. Deze certificaten controleren of de certificaataanvrager controle heeft over de opgegeven domeinen. De validatie vindt meestal plaats via een op HTTP gebaseerd uitdagingsproces, waarbij de aanvrager een toegewezen bestand op zijn webserver plaatst. De Certificate Authority (CA) opent vervolgens dit bestand via de HTTP-server van het domein om de domeincontrole te bevestigen. Door deze uitdaging met succes aan te gaan, kan de CA het DV-certificaat afgeven.
Het inschrijvingsproces omvat deze stappen:

ACME Enrollment HTTP-01 Authentication Flow.
De belangrijkste voordelen van het gebruik van het ACME-protocol voor het inschrijven van TLS-certificaten op Secure Firewall FTD zijn:
Deze voordelen verbeteren gezamenlijk de operationele efficiëntie en beveiliging voor FTD-implementaties van Secure Firewall.
Voordat u het ACME-inschrijvingsproces start, moet u ervoor zorgen dat aan de volgende voorwaarden wordt voldaan:
1. Navigeer naar Objecten > PKI > Cert Enrollment en klik op Cert Enrollment toevoegen om het configuratieproces te starten.

2. De optie voor ACME-inschrijving wordt samen met andere inschrijvingsmethoden in het vervolgkeuzemenu weergegeven. Selecteer ACME in de keuzelijst Inschrijvingstype om door te gaan.

3. De opties voor het configureren van certificaatparameters worden weergegeven. Vul de velden met de juiste informatie in.

4. Als u een ACME-server gebruikt die niet goed bekend is, moet u het CA-certificaat van de ACME-server toevoegen. Navigeer naar Objecten > Cert Enrollment en klik op de knop Cert Enrollment toevoegen.



5. Navigeer naar Certificaatparameters, selecteer de optie Aangepaste FQDN in het vak Inclusief FQDN en vul de velden Aangepaste FQDN en Alternatieve FQDN in met de primaire FQDN en eventuele alternatieve domeinnamen die in het certificaat moeten worden opgenomen.

6. Navigeer naar Sleutel om de instellingen voor Sleuteltype en Sleutelgrootte te wijzigen.

7. (Optioneel) Automatische inschrijving voor het identiteitscertificaat inschakelen.
Schakel het selectievakje Automatisch inschrijven in en geef het percentage op voor de levensduur van Automatisch inschrijven.
Deze functie zorgt ervoor dat het certificaat automatisch wordt verlengd voordat het verloopt. Het percentage bepaalt hoe ver voor het verstrijken van het certificaat het verlengingsproces begint. Bijvoorbeeld, als ingesteld op 80%, begint het verlengingsproces wanneer het certificaat 80% van de geldigheidsperiode heeft bereikt.

8. Klik op Opslaan.
1.Navigeer naar Firewallapparaten > Certificaten en klik op de knop Toevoegen om een nieuw certificaat in te schrijven.

2. Selecteer het FTD-apparaat in de vervolgkeuzelijst Apparaat en het certificaatobject dat eerder is gemaakt in Cert Enrollment.

3. Klik op Toevoegen.
4. Zodra de implementatie is voltooid, wordt in de kolom Status de knop ID-certificaat weergegeven.

5. Valideer de certificaatgegevens door op de knop ID te klikken.

Bevestig dat het certificaat is geregistreerd met de opdracht.show crypto ca certificates <Trust Point Name>.
firepower# show crypto ca certificatesACME_CERT
Certificate
Status: Available
Certificate Serial Number: 058f993097bd56758e44554194a953be
Certificate Usage: General Purpose
Public Key Type: RSA (2048 bits)
Signature Algorithm: ecdsa-with-SHA256
Issuer Name:
CN=acme Intermediate CA
O=acme
Subject Name:
CN=ftd-example.cisco.com
Validity Date:
start date: 11:20:55 UTC Jul 21 2025
end date: 11:21:55 UTC Jul 22 2025
Storage: immediate
Associated Trustpoints: ACME_CERT
Public Key Hashes:
SHA1 PublicKey hash: 26b7a0f7414364a45b246114478bb74f432520c4
SHA1 PublicKeyInfo hash: 24125d6e8674566c1551784f651975b562c520a
Er zijn nieuwe syslogs in de Secure Firewall FTD om gebeurtenissen met betrekking tot de certificaatinschrijving vast te leggen met behulp van het ACME-protocol:
%FTD-5-717067: Starting ACME certificate enrollment for the trustpoint <private_acme> with CA <ca-acme.example.com>. Mode <manual>
%FTD-5-717068: ACME Certificate enrollment succeeded for trustpoint <private_acme> with CA <ca-acme.example.com>. Received a new certificate with Subject Name <CN=fj-asav.example.com> Issuer Name <CN=ca-acme Intermediate CA,O=ca-acme> Serial Number <truncated>
%FTD-3-717069: ACME Certificate enrollment failed for trustpoint <private_acme>
%FTD-5-717070: Keypair <Auto.private_acme> in the trustpoint <private_acme> is regenerated for <manual> ACME certificate enrollment
Als een inschrijving voor een ACME-certificaat mislukt, overweeg dan de volgende stappen om het probleem te identificeren en op te lossen:
Verzamel voor meer informatie de uitvoer van de volgende foutopsporingsopdrachten:
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
1.0 |
06-Apr-2026
|
Eerste vrijgave |