Begrijp certificaatinformatie om een ketting voor 9800 WLC te creëren

Inleiding

Dit document beschrijft hoe u een certificaat met bekende online tools en hun interpretatie kunt decoderen om een certificaatketen te creëren in de 9800 WLC.

Voorwaarden

Vereisten

Cisco raadt u aan een basiskennis te hebben van deze onderwerpen:

• Cisco Catalyst 9800 draadloze LAN-controller (WLC)
• Digitaal certificaat, CSR-concept (Certificate Signing Request).
• OpenSSL-software.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• OpenSSL-software in versie 1.1.1w
• Windows-computer

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

CSR genereren

De CSR kan worden gegenereerd in de controller of met OpenSSL. 

Om een CSR in de 9800 WLC te genereren, gaat u naar Configuration > Security > PKI Management > Add Certificate > Generate Certificate Signing request.

Wanneer een certificaatondertekeningsverzoek wordt gegenereerd, is informatie zoals een privésleutel, algemene naam (GN), landcode, staat, locatie, organisatie en organisatie-eenheid vereist.

MVO-generatie in WLC

Alle in het verzoek ingevulde MVO-informatie wordt in de decodering weergegeven.

OpenSSL software is de enige bron van waarheid wanneer een certificaat wordt gedecodeerd. Het toont alle informatie erover.

Als u een certificaat wilt decoderen in een Windows- of MacBook-computer waarop OpenSSL is geïnstalleerd, opent u de opdrachtprompt als beheerder en voert u de opdracht openssl x509 -in <certificate.crt> -text -noout uit. De uitvoer wordt weergegeven als consoleinformatie.

Er zijn andere online tools om certificaten te decoderen die de output op een gebruiksvriendelijkere manier tonen zoals CertLogik en SSL Shopper die niet in dit document worden gepresenteerd.

Houd er rekening mee dat ze dezelfde OpenSSL-opdracht gebruiken die al is vermeld om de certificaten te decoderen.

Certificaat van derden

De MVO wordt naar de Certificaatautoriteit (CA) gestuurd, zodat deze kan worden ondertekend en teruggestuurd. Download alle certificaatketting zodat u het naar de WLC kunt uploaden.

Om de keten van een certificaat te begrijpen, kunnen alle bestanden die CA ontvangt worden gedecodeerd. Zorg ervoor dat ze in Base64-formaat zijn.

U kunt meerdere bestanden ontvangen van de CA. Dit is afhankelijk van het aantal CA-bestanden.

Om elk bestand te identificeren, moet u het decoderen.

Wanneer een ondertekend certificaat wordt gedecodeerd, wordt de sectie Uitgevende instantie toegevoegd. Dit verwijst naar CA die het certificaat ondertekende.

Als u een CSR-bestand decodeert dat niet is ondertekend, bestaat de sectie Uitgevende niet omdat het nog niet is ondertekend.

Dit is een voorbeeld van een multi-level autorisatie of kettingcertificaat scenario:

• Root CA
• Tussentijds CA-certificaat
• Apparaatcertificaat

Gedecodeerde Root CA

Voor een Root CA, aangezien het hoogste gezag van de keten is, moeten de Emittent en Onderwerp het zelfde zijn.

Gedecodeerde Root CA

Gedecodeerde tussentijdse CA

Voor Intermediate CA, aangezien het is ondertekend door de Root CA, moet de uitgever overeenkomen met de Root CA CN.

Gedecodeerde tussentijdse CA

Gedecodeerd apparaatcertificaat

Voor het Apparaatcertificaat, aangezien het is ondertekend door de Intermediate CA, moet de Afgevende instantie overeenkomen met de Intermediate CA CN

Gedecodeerd apparaatcertificaat

In een scenario waarin meer dan 1 tussenliggende CA wordt gebruikt, gebruikt u hetzelfde decodeproces.

Zodra de kettingvolgorde is geïdentificeerd, kan deze worden geüpload naar de controller.

De 9800 WLC heeft de hele keten in de juiste volgorde nodig, zodat het certificaat goed kan werken.

Voor verdere stappen om een certificaat naar de controller te uploaden, raadpleegt u CSR-certificaten genereren en downloaden op Catalyst 9800 WLC’s.

Zorg ervoor dat u het decodeproces begrijpt voordat u doorgaat. Als dit het geval is, moeten de volgende stappen worden voltooid om een Web Auth, Web Admin of Management certificaat te hebben geüpload in een 9800 WLC.