Inleiding

In dit document wordt beschreven hoe u bepaalde typen certificaten kunt aanvragen, installeren, vertrouwen en vernieuwen op Cisco ASA Software die wordt beheerd met ASDM.

Voorwaarden

Vereisten

• Voordat u begint te controleren of het Adaptive Security Appliance (ASA) de juiste kloktijd, datum en tijdzone heeft met certificaatverificatie, wordt het aanbevolen om een NTP-server (Network Time Protocol) te gebruiken om de tijd op de ASA te synchroniseren. Controleer gerelateerde informatie voor referentie.
• Om een certificaat aan te vragen dat gebruik maakt van Certificate Signing Request (CSR), moet u toegang hebben tot een vertrouwde interne of externe Certificate Authority (CA). Voorbeelden van externe CA-leveranciers zijn onder meer Entrust, Geotrust, GoDaddy, Thawte en VeriSign.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• ASAv 9.18.1
• Cisco Adaptive Security Device Manager - ASDM - 7.24(1)
• Voor het maken van PKCS12 wordt OpenSSL gebruikt.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Het type certificaten waarop dit document betrekking heeft, is:

• Zelfondertekende certificaten
• Certificaten ondertekend door een externe certificeringsinstantie of interne CA

De Secure Socket Layer (SSL), Transport Layer Security (TLS) en IKEv2 rfc7296 voor EAP-verificatieprotocollen schrijven voor dat de SSL/TLS/IKEv2-server de client een servercertificaat verstrekt voor de client om serververificatie uit te voeren. Het wordt aanbevolen vertrouwde externe CA’s in te schakelen voor het verstrekken van SSL-certificaten voor de ASA.

Cisco raadt het gebruik van een zelfondertekend certificaat niet aan, omdat een gebruiker daarbij per ongeluk een browser kan configureren om het certificaat van een onbetrouwbare server te vertrouwen. Gebruikers kunnen beveiligingswaarschuwingen tegenkomen wanneer ze verbinding maken met de beveiligde gateway, waardoor hun workflow kan worden verstoord. 

Betrouwbare CA-beveiligingsoverwegingen

Certificaat Authenticatie Risico's en aanbevelingen

Standaardgedrag voor validatie en gebruik van Trustpoint

Wanneer een vertrouwd CA-certificaat is geïnstalleerd, kan het worden gebruikt om verschillende soorten VPN-verbindingen te verifiëren met behulp van certificaatverificatie. Het wordt bestuurd met de opdracht validatiegebruik trustpoint (Configuratie > Apparaatbeheer > Certificaatbeheer >CA-certificaten >Toevoegen -> Meer opties... > Geavanceerd> Selecteer Validatiegebruiksopties).

De typen validatiegebruik zijn:

• ipsec-client: Valideert IPsec-clientverbindingen.
• ssl-client: Valideert SSL-clientverbindingen.
• ssl-server: Valideert SSL-servercertificaten.

Standaardconfiguratierisico's

• Standaard kan een CA-certificaat dat als vertrouwd is geïnstalleerd, worden gebruikt om inkomende client-identiteitscertificaten voor elke tunnelgroep te verifiëren met behulp van certificaatverificatie.
• Deze standaardinstelling kan een beveiligingsrisico zijn als u zich er niet van bewust bent.

Aanbevolen actie

• Schakel het gebruik van validatie uit voor onbedoelde vertrouwenspunten. Als een CA-certificaat niet bedoeld is om VPN-peers of -gebruikers te verifiëren, schakel dan het validatiegebruik voor dat vertrouwenspunt uit.
  
  

Voorbeeldconfiguratie

Navigate to:
Configuration > Device Management > Certificate Management > CA Certificates. 
a) Select a wanted trustpoint and click Edit. 
b) Navigate to Advanced and uncheck all Validation Usage options. 

trustpoint public-root-ca
 no validation-usage

Autorisatierisico's en aanbevelingen

Standaard kan een vertrouwd CA-certificaat worden gebruikt om VPN IPSEC peer of Remote Access VPN-gebruiker te verifiëren die verbinding maakt met een tunnelgroep. Er moet een juiste autorisatie worden ontworpen.

Aanbevolen actie

Gebruik certificaten en tunnelgroepkaarten om ervoor te zorgen dat alleen goedgekeurde certificaten worden gebruikt voor specifieke tunnelgroepen. Stel een standaard tunnelgroepkaartregel in die verwijst naar een tunnelgroep zonder toegang om ongeoorloofde toegang te beperken.

Voorbeeldconfiguratie

Certificaatverificatie is alleen toegestaan voor:

• Machines met een certificaat afgegeven door CN=example.com en met OU=machines in certificaatonderwerp.
• Gebruikers met een certificaat afgegeven door CN=example.com en met OU=gebruikers in certificaatonderwerp.

Gebruikers met andere certificaten worden standaard toegewezen aan de no_access-tunnelgroep, dankzij de opdracht tunnel-group-map default-group no_access. De Certificate Map Rules hebben voorrang op group-url dankzij de tunnel-group-map enable rules command. Het kennen van de groep-URL helpt niet om de Certificate Map Rules te omzeilen.

1. Groepsbeleid configureren dat VPN-toegang voorkomt:

Navigate to:
Configuration > Remote Access VPN > Network (Client) Access > Group Policies > Add > General > More Options 
a) Uncheck Inherit next to Simultaneous Logins and set the value 0.
b) Uncheck Inherit next to Banner and set a wanted massage, for example NO ACCESS GROUP POLICY.

group-policy no_access_gp internal 
group-policy no_access_gp attributes 
 banner value NO ACCESS GROUP POLICY
 vpn-simultaneous-logins 0

Gelijktijdige aanmeldingen ingesteld op 0

2. Configureer tunnelgroepen voor gebruikers en tunnelgroepen die VPN-toegang verhinderen.

Navigate to:
Configuration > Remote Access VPN > Network (Client) Access > Secure Client Connection Profiles. Click Add and configure:
a) Authentication method as Certificate.
b) Group Policy - for the no_access tunnel group use no_access_gp where simultaneous logins is set to 0.

tunnel-group mgmt-tunnel type remote-access
tunnel-group mgmt-tunnel general-attributes
 address-pool vpn_pool
 default-group-policy mgmt-tunnel
tunnel-group mgmt-tunnel webvpn-attributes
 authentication certificate
!
tunnel-group users_access type remote-access
tunnel-group users_access general-attributes
 default-group-policy user_access_gp
 address-pool vpn_pool
tunnel-group users_access webvpn-attributes
 authentication certificate
!
tunnel-group no_access type remote-access
tunnel-group no_access general-attributes
 default-group-policy no_access_gp
 address-pool vpn_pool
tunnel-group no_access webvpn-attributes
 authentication certificate

Geen toegangstunnelgroep

3. Maak certificaatkaarten voor gebruikers en gebruik de certificaatkaarten voor tunnelgroepkaarten:

Navigate to: Configuration > Remote Access VPN > Advanced > Certificate to Secure Client and Clientless SSL VPN Connection Profile Maps. 
a) Click Add to configure Certificate to Connection Profile Maps.
b) Select New and configure a certificate group map name, for example mgmt_tunnel_map or users_access_map.
c) Select a corresponding connection profile/tunnel group from the drop-down menu at Mapped to Connection Profile.
d) Click Add to configure Mapping Criteria.
e) Select: Field: Subject, Component: Organizational Unit (OU), Operator: Equals, Value: machines or users.
d) Select: Field: Issuer, Component: Common Name (CN), Operator: Equals, Value: example.com.

crypto ca certificate map mgmt_tunnel_map 10 
 issuer-name attr cn eq example.com 
 subject-name attr ou eq machines 
crypto ca certificate map users_access_map 10 
 issuer-name attr cn eq example.com 
 subject-name attr ou eq users 
!
webvpn 
 (...) 
 certificate-group-map mgmt_tunnel_map 10 mgmt-tunnel 
 certificate-group-map users_access_map 10 users_access

Certificaat voor beveiligde profielkaarten voor clientverbindingen

4. Schakel tunnelgroepkaarten in en configureer een standaardtunnelgroep om toegang te weigeren als een gebruikerscertificaat niet overeenkomt met een andere certificaatkaart.

Navigate to: Configuration > Remote Access VPN > Network (Client) Access > Advanced > IPsec > Certificate to Connection Profile Maps > Policy.
a) Check Use the configure rules to match a certificate to a Connection Profile.
b) Check Default to Connection Profile and select from the drop-down menu the no-access connection profile/tunnel group.

tunnel-group-map enable rules
tunnel-group-map default-group no_access

Certificaatkaarten en standaardverbindingsprofiel inschakelen

Aanvullende bronnen

Raadpleeg de Cisco-documentatie voor meer gedetailleerde configuratie-instructies:

• Gebruiksconfiguratie voor validatie -Cisco Secure Firewall ASA-reeks, opdrachtreferentie, T-Z-opdrachten
• Certificaatkaartconfiguratie -Cisco Secure Firewall ASA-reeks, opdrachtreferentie, T-Z-opdrachten
• Tunnel-Group Map Configuration -Cisco Secure Firewall ASA-reeks, opdrachtreferentie, T - Z-opdrachten
• Tunnel-Group-Map Configuratie inschakelen -Cisco Secure Firewall ASA-reeks, opdrachtreferentie, T - Z-opdrachten
• Cisco Security Advisory - Standaardconfiguratie van Cisco ASA-software en FTD-software Trustpoint

Een nieuw identiteitscertificaat aanvragen en installeren met ASDM

Een certificaat kan worden aangevraagd bij een Certificate Authority (CA) en op twee manieren op een ASA worden geïnstalleerd:

1. Gebruik een Certificate Signing Request (CSR). Genereer een sleutelpaar, vraag een identiteitscertificaat aan van CA met een CSR, installeer het ondertekende identiteitscertificaat dat is verkregen van de CA.
2. Gebruik een PKCS12-bestand dat is verkregen van een CA of dat is geëxporteerd vanaf een ander apparaat. Het PKCS12-bestand bevat een sleutelpaar, een identiteitscertificaat en een of meer CA-certificaten.

Een nieuw identiteitscertificaat aanvragen en installeren met Certificate Signing Request (CSR)

Er wordt een CSR gemaakt op het apparaat waarvoor een identiteitscertificaat nodig is, gebruik een sleutelpaar dat op het apparaat is gemaakt.

Een CSR bevat:

• Informatie over certificaataanvragen - aangevraagd onderwerp en andere kenmerken, openbare sleutel van het sleutelpaar.
• Handtekening algoritme informatie.
• Digitale handtekening van informatie over certificaataanvragen, ondertekend met de privésleutel van het sleutelpaar.

De CSR wordt doorgegeven aan de Certificate Authority (CA) voor ondertekening in PKCS # 10-formulier. 

Het ondertekende certificaat wordt door CA geretourneerd in een PEM-formulier.

Opmerking: CA kan de parameters FQDN en Subject Name wijzigen die in het Trustpoint zijn gedefinieerd wanneer het de CSR ondertekent en een ondertekend identiteitscertificaat maakt.

Genereer een CSR met ASDM

Maak een Trustpoint met een specifieke naam

1. Navigeer naar Configuratie > Apparaatbeheer > Certificaatbeheer > Identiteitscertificaten

1. Klik op Add (Toevoegen).
2. Definieer een naam voor een vertrouwenspunt.

   

3. Klik op het keuzerondje Add a new identity certificate (Voeg een nieuw identiteitscertificaat toe).

Een nieuw sleutelpaar maken (optioneel)

Opmerking: Standaard wordt de RSA-sleutel met de naam Default-RSA-Key en een grootte van 2048 gebruikt. Het wordt echter aanbevolen om voor elk identiteitscertificaat een uniek privé/openbaar sleutelpaar te gebruiken.

1. Klik op Nieuw om een nieuw sleutelpaar te genereren.

1. Kies de optie Voer een nieuwe naam voor het sleutelpaar in en voer een naam voor het nieuwe sleutelpaar in.
2. Selecteer RSA of ECDSA bij Key Type (Sleuteltype).
3. Kies de sleutelgrootte; kies voor de RSA het algemene doel voor gebruik.
4. Klik op Generate Now (Nu genereren). Het sleutelpaar is nu gemaakt.

   

Kies de naam van het sleutelpaar

1. Kies het sleutelpaar om de CSR mee te ondertekenen en te binden aan het nieuwe certificaat.

Het onderwerp van het certificaat en de volledig gekwalificeerde domeinnaam (FQDN) configureren

Let op: de FQDN-parameter moet overeenkomen met het FQDN of het IP-adres van de ASA-interface waarvoor het identiteitscertificaat wordt gebruikt. Met deze parameter wordt de aangevraagde extensie voor de alternatieve onderwerpnaam (SAN) voor het identiteitscertificaat ingesteld. De SAN-extensie wordt gebruikt door de SSL/TLS/IKEv2-client om te controleren of het certificaat overeenkomt met de FQDN waarmee het verbinding maakt.

1. Klik op Selecteren.

1. Configureer in het venster Certificate Subject DN de certificaatkenmerken - kies het kenmerk uit de vervolgkeuzelijst, voer de waarde in en klik op Toevoegen.

attribuut	Beschrijving
CN	De naam waarmee de firewall kan worden geopend (meestal de volledig gekwalificeerde domeinnaam, bijvoorbeeld vpn.example.com).
OU	De naam van uw afdeling binnen de organisatie.
O	De wettelijk geregistreerde naam van uw organisatie/bedrijf.
C	Landcode (2-lettercode zonder interpunctie).
ST	De staat waarin uw organisatie is gevestigd.
L	De stad waarin uw organisatie is gevestigd.
EA	E-mailadres

Opmerking: geen van de vorige veldwaarden kan een limiet van 64 tekens overschrijden. Langere waarden kunnen problemen veroorzaken bij de installatie van het identiteitsbewijs. Het is ook niet nodig om alle DN-attributen te definiëren.

1. Klik op OK nadat alle attributen zijn toegevoegd.
2. Configureer het apparaat FQDN - klik op Geavanceerd.

1. Voer in het veld FQDN de volledig gekwalificeerde domeinnaam in waar het apparaat toegankelijk is via internet.
2. Klik op OK.

   

De CSR genereren en opslaan

1. Klik op Add Certificate (Certificaat toevoegen).

1. Er wordt een prompt weergegeven om de CSR op te slaan in een bestand op het lokale systeem.

1. Klik op Bladeren en kies een locatie om de CSR op te slaan. Zorg ervoor dat u het bestand opslaat met de extensie .txt.

Opmerking: wanneer het bestand wordt opgeslagen met een .txt-extensie, kan het PKCS#10-verzoek worden geopend en bekeken met een teksteditor (zoals Notepad).

1. Nu wordt het nieuwe vertrouwenspunt weergegeven in de status In behandeling.

Installeer het identiteitscertificaat in PEM-indeling met ASDM

De installatiestappen gaan ervan uit dat de CA de CSR heeft ondertekend en een PEM-gecodeerde (.pem,.cer, .crt) identiteitscertificaat en CA-certificaatbundel heeft geleverd.

CA-certificaat installeren dat de CSR heeft ondertekend

1. Navigeer naar Configuratie > Apparaatbeheer > Certificaatbeheer en kies CA-certificaten.
2. Klik op Add (Toevoegen).

1. Voer de naam van het Trustpoint in en selecteer Installeren vanuit bestand, klik op de knop Bladeren en selecteer het tussenliggende certificaat. U kunt ook het PEM-gecodeerde CA-certificaat uit een tekstbestand in het tekstveld plakken.

Opmerking: Installeer het CA-certificaat dat de CSR heeft ondertekend. Gebruik dezelfde naam als het identiteitscertificaat. De andere CA-certificaten die hoger in de PKI-hiërarchie staan, kunnen in afzonderlijke vertrouwspunten worden geïnstalleerd.

1. Klik op Install Certificate (Certificaat installeren). 

1. Installeer het identiteitsbewijs
2. Kies het identiteitscertificaat dat eerder is gemaakt tijdens de MVO-generatie.
3. Klik op Install (Installeren).

Opmerking: Het identiteitscertificaat kan een veld Uitgegeven door als niet beschikbaar en het veld Vervaldatum als in behandeling hebben. 

1. Kies een bestand dat het PEM-gecodeerde identiteitscertificaat bevat dat is ontvangen van de CA, of open het PEM-gecodeerde certificaat in een teksteditor en kopieer en plak het identiteitscertificaat dat door de CA is verstrekt in het tekstveld.

Opmerking: identiteitscertificaten kunnen worden geïnstalleerd in de indeling .pem, .cer en .crt.

1. Klik op Install Certificate (Certificaat installeren).

Bind het nieuwe certificaat aan de interface met ASDM

De ASA moet zo zijn geconfigureerd dat het nieuwe identiteitscertificaat wordt gebruikt voor WebVPN-sessies die eindigen op de opgegeven interface.

1. Ga naar Configuration > Remote Access VPN > Advanced > SSL Settings (Configuratie > VPN voor externe toegang > Geavanceerd > SSL-instellingen).
2. Selecteer onder Certificates (Certificaten) de interface waarop WebVPN-sessies moeten eindigen. In dit voorbeeld wordt de buiteninterface gebruikt.
3. Klik op Edit (Bewerken).
4. Kies in de vervolgkeuzelijst Certificate (Certificaat) het nieuw geïnstalleerde certificaat.

   

5. Klik op OK.
6. Klik op Apply (Toepassen).

Nu is het nieuwe identiteitscertificaat in gebruik.

Installeer een identiteitscertificaat ontvangen in PKCS12-formaat met ASDM

Het PKCS12-bestand (.p12- of .pfx-formaat) bevat identiteitscertificaat, sleutelpaar en CA-certificaat(en). Het wordt gemaakt door de CA, in het geval van een wildcard-certificaat, of geëxporteerd vanaf een ander apparaat. Het is een binair bestand en kan niet worden bekeken met een teksteditor.

De identiteits- en CA-certificaten installeren vanuit een PKCS12-bestand

Het identiteitscertificaat, CA-certificaat(en) en het sleutelpaar moeten worden gebundeld in één PKCS12-bestand. 

1. Navigeer naar Configuratie > Apparaatbeheer > Certificaatbeheer en kies Identiteitscertificaten.
2. Klik op Add (Toevoegen).
3. Geef een naam op bij Trustpoint Name (Naam van vertrouwenspunt).

   

4. Klik op Het identiteitscertificaat importeren vanuit een bestandsradio.

   

5. Geef bij Decryption Passphrase (Wachtwoord voor ontsleuteling) het wachtwoord op dat is gebruikt om het PKCS12-bestand te maken.

   

1. Klik op Add Certificate (Certificaat toevoegen).

Opmerking: Wanneer u een PKCS12 met CA-certificatenketen importeert, maakt de ASDM automatisch de upstream CA-vertrouwenspunten met namen en het toegevoegde achtervoegsel 'nummer'.

Bind het nieuwe certificaat aan de interface met ASDM

De ASA moet zo zijn geconfigureerd dat het nieuwe identiteitscertificaat wordt gebruikt voor WebVPN-sessies die eindigen op de opgegeven interface.

1. Ga naar Configuration > Remote Access VPN > Advanced > SSL Settings (Configuratie > VPN voor externe toegang > Geavanceerd > SSL-instellingen).
2. Selecteer onder Certificates (Certificaten) de interface waarop WebVPN-sessies moeten eindigen. In dit voorbeeld wordt de buiteninterface gebruikt.
3. Klik op Edit (Bewerken).
4. Kies in de vervolgkeuzelijst Certificate (Certificaat) het nieuw geïnstalleerde certificaat.

1. Klik op OK.
2. Klik op Apply (Toepassen).

   

3. Nu is het nieuwe identiteitscertificaat in gebruik.

Certificaatverlenging

Vernieuw een Certificaat Ingeschreven met Certificate Signing Request (CSR) met ASDM

Certificaatverlenging van een CSR-certificaat vereist dat u een nieuw Trustpoint maakt en inschrijft. Het moet een andere naam hebben (bijvoorbeeld een oude naam met het achtervoegsel voor het inschrijvingsjaar). Het kan dezelfde parameters en sleutelpaar gebruiken als het oude certificaat, of het kan verschillende gebruiken.

Genereer een CSR met ASDM

Maak een nieuw Trustpoint met een specifieke naam

1. Navigeer naar Configuratie > Apparaatbeheer > Certificaatbeheer > Identiteitscertificaten

1. Klik op Add (Toevoegen).
2. Definieer een Trustpoint-naam.

   

3. Klik op de keuzerondjes Nieuw identiteitscertificaat toevoegen.

Een nieuw sleutelpaar maken (optioneel)

Opmerking: Standaard wordt de RSA-sleutel met de naam Default-RSA-sleutel en een grootte van 2048 gebruikt; het wordt echter aanbevolen om voor elk identiteitscertificaat een uniek privé / openbaar sleutelpaar te gebruiken.

1. Klik op Nieuw om een nieuw sleutelpaar te genereren.

1. Kies de optie Voer een nieuwe naam voor het sleutelpaar in en voer een naam voor het nieuwe sleutelpaar in.
2. Selecteer RSA of ECDSA bij Key Type (Sleuteltype).
3. Kies de sleutelgrootte - voor RSA, kies Algemeen doel voor gebruik.
4. Klik op Generate Now (Nu genereren). Het sleutelpaar is nu gemaakt.

   

Selecteer de naam van het sleutelpaar

1. Kies het sleutelpaar om de CSR mee te ondertekenen en te binden aan het nieuwe certificaat.

Het onderwerp van het certificaat en de volledig gekwalificeerde domeinnaam (FQDN) configureren

Let op: de FQDN-parameter moet overeenkomen met het FQDN-adres of het IP-adres van de ASA-interface waarvoor het certificaat wordt gebruikt. Met deze parameter wordt de alternatieve onderwerpnaam (SAN) voor het certificaat ingesteld. Het SAN-veld wordt gebruikt door de SSL/TLS/IKEv2-client om te controleren of het certificaat overeenkomt met de FQDN waarmee het is verbonden.

Opmerking: De CA kan de parameters FQDN en Subject Name wijzigen die in het vertrouwenspunt zijn gedefinieerd wanneer de CA de CSR ondertekent en een ondertekend identiteitscertificaat aanmaakt.

1. Klik op Selecteren.

1. Configureer in het venster Certificate Subject DN de certificaatkenmerken - selecteer het kenmerk in de vervolgkeuzelijst en voer de waarde in.
2. Klik op Add (Toevoegen).

   

   attribuut	Beschrijving
   CN	De naam waarmee de firewall kan worden geopend (meestal de volledig gekwalificeerde domeinnaam, bijvoorbeeld vpn.example.com).
   OU	De naam van uw afdeling binnen de organisatie.
   O	De wettelijk geregistreerde naam van uw organisatie/bedrijf.
   C	Landcode (2-lettercode zonder interpunctie)
   ST	De staat waarin uw organisatie is gevestigd.
   L	De stad waarin uw organisatie is gevestigd.
   EA	E-mailadres

   Opmerking: geen van de voorgaande velden mag een limiet van 64 tekens overschrijden. Een langere waarde kan problemen veroorzaken bij de installatie van het identiteitscertificaat. Het is ook niet nodig om alle DN-attributen te definiëren.

3. Klik op OK nadat alle attributen zijn toegevoegd.
4. Als u FQDN voor apparaten wilt configureren, klikt u op Geavanceerd.

   

5. Voer in het veld FQDN de volledig gekwalificeerde domeinnaam in waar het apparaat toegankelijk is via internet.
6. Klik op OK.

   

De CSR genereren en opslaan

1. Klik op Add Certificate (Certificaat toevoegen).

1. Er wordt een prompt weergegeven om de CSR op te slaan in een bestand op het lokale systeem.

1. Klik op Bladeren. Kies een locatie om de CSR op te slaan en sla het bestand op met de extensie .txt.

Opmerking: wanneer het bestand wordt opgeslagen met een .txt-extensie, kan het PKCS#10-verzoek worden geopend en bekeken met een teksteditor (zoals Notepad).

1. Nu wordt het nieuwe vertrouwenspunt weergegeven in de status In behandeling.

Installeer het identiteitscertificaat in PEM-formaat met ASDM

De installatiestappen gaan ervan uit dat de CA de CSR heeft ondertekend en een PEM-gecodeerde (.pem, .cer, .crt) nieuwe identiteitscertificaat- en CA-certificaatbundel heeft geleverd.

CA-certificaat installeren dat de CSR heeft ondertekend

Het CA-certificaat dat het identiteitscertificaat heeft ondertekend, kan worden geïnstalleerd in het Trustpoint dat is gemaakt voor het identiteitscertificaat. Als het identiteitscertificaat is ondertekend door een tussenliggende CA, kan dit CA-certificaat worden geïnstalleerd in het vertrouwenspunt van het identiteitscertificaat. Alle CA-certificaten stroomopwaarts in de hiërarchie en kunnen in afzonderlijke CA Trustpoints worden geïnstalleerd.

1. Navigeer naar Configuratie > Apparaatbeheer > Certificaatbeheer > en kies CA-certificaten.
2. Klik op Add (Toevoegen).

   

3. Voer de naam van het Trustpoint in en kies Installeren vanaf bestand. 
4. Klik op Bladeren en kies het tussenliggende certificaat. U kunt ook het PEM-gecodeerde CA-certificaat uit een tekstbestand in het tekstveld plakken.

   

   Opmerking: Installeer het tussencertificaat met dezelfde naam van het vertrouwenspunt als de naam van het vertrouwenspunt van het identiteitscertificaat als het identiteitscertificaat is ondertekend door een tussenliggend CA-certificaat.

5. Klik op Install Certificate (Certificaat installeren). 

In dit voorbeeld wordt het nieuwe certificaat ondertekend met hetzelfde CA-certificaat als het oude. Hetzelfde CA-certificaat is gekoppeld aan twee Trustpoints.

Installeer het identiteitsbewijs

1. Kies het identiteitscertificaat dat eerder met de MVO-generatie is gemaakt.
2. Klik op Install (Installeren).

   

   Opmerking: Het identiteitsbewijs kan het veld Uitgegeven door als niet beschikbaar hebben, en het veld Vervaldatum als In behandelingʼ. 

3. Kies een bestand dat het PEM-gecodeerde identiteitscertificaat bevat dat is ontvangen van de CA, of open het PEM-gecodeerde certificaat in een teksteditor en kopieer en plak het identiteitscertificaat dat door de CA is verstrekt in het tekstvak.

Opmerking: identiteitscertificaten kunnen worden geïnstalleerd in de indeling .pem, .cer en .crt.

1. Klik op Install Certificate (Certificaat installeren).

1. Na de installatie zijn er oude en nieuwe identiteitsbewijzen aanwezig.
   

Bind het nieuwe certificaat aan de interface met ASDM

De ASA moet zo zijn geconfigureerd dat het nieuwe identiteitscertificaat wordt gebruikt voor WebVPN-sessies die eindigen op de opgegeven interface.

1. Ga naar Configuration > Remote Access VPN > Advanced > SSL Settings (Configuratie > VPN voor externe toegang > Geavanceerd > SSL-instellingen).
2. Selecteer onder Certificates (Certificaten) de interface waarop WebVPN-sessies moeten eindigen. In dit voorbeeld wordt de buiteninterface gebruikt.
3. Klik op Edit (Bewerken).
4. Kies in de vervolgkeuzelijst Certificate (Certificaat) het nieuw geïnstalleerde certificaat.

1. Klik op OK.
2. Klik op Apply (Toepassen). Nu is het nieuwe identiteitscertificaat in gebruik.

Vernieuw een certificaat dat is ingeschreven met PKCS12-bestand met ASDM

Certificaatverlenging van het PKCS12-certificaat vereist dat u een nieuw Trustpoint maakt en inschrijft. Het moet een andere naam hebben (bijvoorbeeld een oude naam met het achtervoegsel voor het inschrijvingsjaar).

Het PKCS12-bestand (.p12- of .pfx-formaat) bevat identiteitscertificaat, sleutelpaar en CA-certificaat(en). Het wordt gemaakt door de CA, bijvoorbeeld in het geval van een wildcard-certificaat, of geëxporteerd vanaf een ander apparaat. Het is een binair bestand en kan niet worden bekeken met teksteditor.

Het vernieuwde identiteitscertificaat en CA-certificaten installeren vanuit een PKCS12-bestand

Het identiteitscertificaat, CA-certificaat(en) en het sleutelpaar moeten worden gebundeld in één PKCS12-bestand.

1. Navigeer naar Configuration > Apparaatbeheer > Certificaatbeheer en kies Identity Certificates.
2. Klik op Add (Toevoegen).
3. Geef een nieuwe naam voor Trustpoint op.

   

4. Klik op het keuzerondje Import the identity certificate from a file (Identiteitscertificaat importeren uit een bestand).

1. Geef bij Decryption Passphrase (Wachtwoord voor ontsleuteling) het wachtwoord op dat is gebruikt om het PKCS12-bestand te maken.

1. Klik op Add Certificate (Certificaat toevoegen).

Opmerking: Wanneer een PKCS12 met certificaatketen CA's wordt geïmporteerd in de ASDM, worden de upstream-vertrouwensrelaties automatisch gemaakt met namen met een toegevoegde achtervoegsel nummer.

Bind het nieuwe certificaat aan de interface met ASDM

De ASA moet worden geconfigureerd om het nieuwe identiteitscertificaat te gebruiken voor WebVPN-sessies die eindigen op de opgegeven interface.

1. Navigeer naar Configuration > Remote Access VPN > Advanced > SSL Settings
2. Selecteer onder Certificates (Certificaten) de interface waarop WebVPN-sessies moeten eindigen. In dit voorbeeld wordt de buiteninterface gebruikt.
3. Klik op Edit (Bewerken).
4. Kies in de vervolgkeuzelijst Certificate (Certificaat) het nieuw geïnstalleerde certificaat.

1. Klik op OK.
2. Klik op Apply (Toepassen).

1. Nu is het nieuwe identiteitscertificaat in gebruik.

Verifiëren

Gebruik deze stappen om de succesvolle installatie van het/de certificaat(en) van een externe leverancier te verifiëren en het gebruik voor SSL VPN-verbindingen te controleren.

Geïnstalleerde certificaten bekijken via ASDM

1. Navigeer naar Configuration > Remote Access VPN > Certificate Management en kies Identity Certificates.
2. Het identiteitscertificaat dat door de externe verkoper is afgegeven, is zichtbaar.

Problemen oplossen

Als de installatie van een SSL-certificaat mislukt, wordt deze foutopsporingsopdracht verzameld op de CLI om diagnostische informatie te verzamelen.

• debug crypto ca 14

Veelgestelde vragen

Wat is een PKCS12?
In cryptografie definieert PKCS12 een archiefbestandsformaat dat is gemaakt om veel cryptografieobjecten als één bestand op te slaan. Het wordt vaak gebruikt om een privésleutel te bundelen met zijn X.509-certificaat of om alle leden van een vertrouwensketen te bundelen.

Q. Wat is een CSR?
A. In systemen met een public key infrastructure (PKI) is een certificaatondertekeningsverzoek (ook CSR of certificeringsverzoek) een bericht dat door een aanvrager wordt verzonden naar een registratieautoriteit van de infrastructuur met een public key om een digitaal identiteitscertificaat aan te vragen. Het bevat meestal de publieke sleutel waarvoor het certificaat kan worden afgegeven, informatie die wordt gebruikt om het ondertekende certificaat te identificeren (zoals een domeinnaam in Onderwerp) en integriteitsbescherming (bijvoorbeeld een digitale handtekening).

V. Waar is het wachtwoord van de PKCS12?
A. Wanneer certificaten en sleutelparen worden geëxporteerd naar een PKCS12-bestand, wordt het wachtwoord opgegeven in de opdracht exporteren. Voor het importeren van een PKCS12-bestand moet het wachtwoord worden aangeleverd door de eigenaar van de CA-server of een persoon die de PKCS12 van een ander apparaat heeft geëxporteerd.

V. Wat is het verschil tussen de wortel en de identiteit?
A. In cryptografie en computerbeveiliging is een rootcertificaat een public key-certificaat dat een rootcertificaatautoriteit (CA) identificeert. Root-certificaten zijn zelfondertekend (en het is mogelijk dat een certificaat meerdere vertrouwenspaden heeft, bijvoorbeeld als het certificaat is uitgegeven door een root die cross-signed was) en vormen de basis van een X.509-gebaseerde public key infrastructure (PKI). Een certificaat van een openbare sleutel, ook bekend als een digitaal certificaat of identiteitscertificaat, is een elektronisch document dat wordt gebruikt om het eigendom van een openbare sleutel te bewijzen. Het certificaat bevat informatie over de sleutel, informatie over de identiteit van de eigenaar (het onderwerp genoemd) en de digitale handtekening van een entiteit die de inhoud van de certificaten heeft geverifieerd (de emittent genoemd). Als de handtekening geldig is en de software die het certificaat onderzoekt de uitgevende instelling vertrouwt, kan deze deze sleutel gebruiken om veilig te communiceren met de certificaatpersoon.

V. Ik heb het certificaat geïnstalleerd, waarom werkt het niet?
A. Dit kan verschillende redenen hebben, bijvoorbeeld:

1. Het certificaat en het vertrouwenspunt zijn geconfigureerd, maar ze zijn niet gebonden aan het proces dat het gebruikt. Zo is het gebruikte vertrouwenspunt niet gebonden aan de externe interface die de Cisco Secure Access AnyConnect VPN-clientverbindingen beëindigt.

2. Er is een PKCS12-bestand geïnstalleerd, maar er worden fouten weergegeven als gevolg van het ontbreken van het tussentijdse CA-certificaat in het PKCS12-bestand. De clients die het tussentijdse CA-certificaat als vertrouwd hebben, maar geen root CA-certificaat als vertrouwd hebben, en kunnen de hele certificaatketen niet verifiëren en het serveridentiteitscertificaat als niet vertrouwd rapporteren.

3. Een certificaat met onjuiste kenmerken kan leiden tot een storing in de installatie of fouten aan de clientzijde. Bepaalde attributen worden bijvoorbeeld gecodeerd met de verkeerde indeling. Een andere reden is dat het identiteitscertificaat een alternatieve onderwerpnaam (SAN) mist of dat de domeinnaam die wordt gebruikt om toegang te krijgen tot de server niet als SAN aanwezig is.

V. Vereist een installatie van een nieuw certificaat een onderhoudsvenster of veroorzaakt het downtime?
A. Installatie van een nieuw certificaat (identiteit of CA) is niet opdringerig en veroorzaakt geen downtime of vereist geen onderhoudsvenster. Om een nieuw certificaat te kunnen gebruiken voor een bestaande service is een wijziging nodig en is een wijzigingsverzoek / onderhoudsvenster vereist.

V. Kan het toevoegen of wijzigen van een certificaat de verbinding tussen de aangesloten gebruikers verbreken?
A. Nee, gebruikers die momenteel verbonden zijn, blijven verbonden. Het certificaat wordt gebruikt bij de verbindingsinrichting. Zodra de gebruikers opnieuw verbinding maken, wordt het nieuwe certificaat gebruikt.

V. Hoe kan ik een CSR maken met een wildcard? Een alternatieve naam (SAN)?
A. Momenteel kan de ASA/FTD geen CSR maken met een jokerteken; dit proces kan echter worden uitgevoerd met OpenSSL. Om de CSR- en ID-sleutel te genereren, kunt u de volgende opdrachten uitvoeren:
     OpenSSL Genersa -Out ID.Key 2048

     OpenSSL req -out id.csr -key id.key -nieuw
Wanneer een vertrouwenspunt is geconfigureerd met een kenmerk Volledig gekwalificeerde domeinnaam (Fully Qualified Domain Name, FQDN), bevat de CSR die door ASA/FTD is gemaakt het SAN met die waarde. De CA kan meer SAN-attributen toevoegen wanneer deze de CSR ondertekent, of de CSR kan worden gemaakt met OpenSSL

V. Gaat een vervangend certificaat onmiddellijk in?

A. Het nieuwe serveridentiteitscertificaat wordt alleen gebruikt voor nieuwe verbindingen. Een nieuw certificaat is klaar om direct na de wijziging te worden gebruikt, maar wordt gebruikt met nieuwe verbindingen.

V. Hoe kan ik controleren of de installatie heeft gewerkt?
A. De CLI-opdracht om te verifiëren: crypto-cert <trustpointname> weergeven

V. Hoe genereer ik PKCS12 uit het identiteitscertificaat, CA-certificaat en de privésleutel?
A. PKCS12 kan worden gemaakt met OpenSSL, met de opdracht:
     OpenSSL PKCS12 -Export -Out p12.pfx -Inkey ID.Key -In ID.CRT -Certfile CA.CRT

V. Hoe exporteer ik een certificaat om het in een nieuwe ASA te installeren?
A.

• Met CLI: gebruik de opdracht: crypto ca export <trustpointname> pkcs12 <password>

• Bij ASDM:

  1. Navigeer naar Configuratie > Apparaatbeheer > Certificaatbeheer > Identiteitscertificaten en kies het Identiteitscertificaat.
  2. Klik op Exporteren.

     

  3. Kies waar u het bestand wilt exporteren, geef het exportwachtwoord op en klik op Certificaat exporteren.

     

  4. Het geëxporteerde certificaat kan worden opgeslagen op de lokale computerschijf. Plaats de wachtwoordzin op een veilige plaats, omdat het bestand zonder het bestand nutteloos is.

V. Als ECDSA-sleutels worden gebruikt, is het SSL-certificaatgeneratieproces dan anders?
A. Het enige verschil in configuratie is de stap voor het genereren van een sleutelpaar, waarbij een ECDSA-sleutelpaar kan worden gegenereerd in plaats van een RSA-sleutelpaar. De overige stappen zijn gelijk.

V. Is het altijd nodig om een nieuw sleutelpaar te genereren?
A. De stappen voor het genereren van het sleutelpaar zijn optioneel. Het bestaande sleutelpaar kan worden gebruikt, of als het PKCS12-sleutelpaar wordt geïmporteerd met het certificaat. Raadpleeg het gedeelte Selecteer de naam van het sleutelpaar voor het betreffende type inschrijving/herinschrijving.

V. Is het veilig om een nieuw sleutelpaar te genereren voor een nieuw identiteitscertificaat?
A. Dit proces is veilig zolang er een nieuwe naam voor het sleutelpaar wordt gebruikt. In dat geval worden de oude sleutelparen niet gewijzigd.

V. Moet de sleutel opnieuw worden gegenereerd wanneer een firewall wordt vervangen (zoals RMA)?
A. De nieuwe firewall heeft naar ontwerp geen sleutelparen op de oude firewall.
De back-up van de actieve configuratie bevat niet de sleutelparen. De volledige back-up die met ASDM wordt gemaakt, kan de sleutelparen bevatten.
De identiteitscertificaten kunnen worden geëxporteerd van een ASA met ASDM of CLI, voordat het faalt. In het geval van een failover-paar worden de certificaten en sleutelparen gesynchroniseerd met een stand-by-eenheid met een schrijfstand-by-opdracht. Als één node van een failover-paar wordt vervangen, volstaat het om de basisfailover te configureren en de configuratie naar het nieuwe apparaat te duwen.
Als een sleutelpaar verloren gaat met het apparaat en er geen back-up is, moet een nieuw certificaat worden ondertekend met een sleutelpaar dat aanwezig is op het nieuwe apparaat.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
5.0	29-May-2026	Bijgewerkte spatiëring, headers en herschreven een paar zinnen vanwege structuur / grammatica.
4.0	15-Nov-2024	Bijgewerkte machinevertaling en opmaak.
3.0	25-Jul-2024	Bijgewerkte alt-tekst, stijlproblemen, expressies en interpunctie/hoofdletters.
2.0	22-Apr-2023	Bijgewerkte lijst met bijdragers.
1.0	19-Apr-2023	Eerste vrijgave