Contents

Introdução

Informações de Apoio

Problema

Solução

Informações Relacionadas

Introdução

Este documento descreve como gerar e instalar um certificado da Web autoassinado quando o existente expira em um vManage local.

Informações de Apoio

A Cisco não assina certificados da Web para essas implantações. Os clientes precisam assiná-lo por sua própria CA (Certificate Authority, autoridade de certificação) ou por alguma CA de terceiros.

Problema

O certificado da Web do vManage irá expirar ou já expirou. O acesso à Interface Gráfica de Usuário (GUI) pode ser perdido ou você pode ver um alarme permanente na GUI sobre certificados expirados.

Solução

Se você não estiver preocupado com o aspecto de segurança do uso de certificado autoassinado e quiser apenas evitar mensagens de alarme e possíveis problemas com o acesso à GUI do vManage devido ao certificado expirado, você poderá usar essa solução com o certificado da Web autoassinado em um vManage.

1. Na GUI do vManage, navegue até Administration >Settings > Web Server Certificate > Certificate e, em seguida, salve essas informações em algum lugar sobre o assunto do certificado, por exemplo, Subject: CN=vmanage, OU=Cisco SDWAN, O=Cisco Systems, L=San Jose, ST=CA, C=US.

2. Na GUI do vManage, navegue até Administração >Configurações > Certificado de Servidor Web > CSR e selecione Gerar para gerar uma nova CSR (Solicitação de Assinatura de Certificado). Certifique-se de inserir os valores do Assunto que você capturou na etapa anterior.

3. Copie o CSR recém-gerado para o buffer do tipo copiar-colar conforme mostrado na imagem.

4. Em seguida, insira um vshell e cole o conteúdo de buffer com CSR no arquivo do vManage com a ajuda do comando echo.

vmanage#

vmanage# vshell

vmanage:~$ mkdir web

vmanage:~$ cd web

vmanage:~/web$ echo "-----BEGIN NEW CERTIFICATE REQUEST-----

> MIICsjCCAZoCAQAwbTELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAkNBMREwDwYDVQQH

> EwhTYW4gSm9zZTEWMBQGA1UEChMNQ2lzY28gU3lzdGVtczEUMBIGA1UECxMLQ2lz

> Y28gU0RXQU4xEDAOBgNVBAMTB3ZtYW5hZ2UwggEiMA0GCSqGSIb3DQEBAQUAA4IB

> DwAwggEKAoIBAQCRDdIKGUYuDwobn60PeDqfq96d+r5z66VQ8NBTBBhgwZgG57J7

> YIY9yNF5oSb+b1xUEXb61Wntq7qSHSzJhFDX0BaL4/c9llOQped3yDElCE0ly3oH

> y88yg7TIZjnmz+j8Io92cRXnZLZ9YJwfs9PwEF0Z/4Gw5QIkukdAmLmkeKjOWD2A

> 4pG2sV8Og+hnhUw8tJ1rKzQKsj2JJmD+ikeZbXu36iZvdKJB34iM2AsmsRbJhUFf

> ujUU7O5E0z1nF2SBCJ+fpf7ze75dQRrBT0PA23QRobQEEg5wSMc+G//jD26zBCNg

> IEyUAX0/0NQfOqtMmcBm7QJDESseOSufv4b9AgMBAAGgADANBgkqhkiG9w0BAQsF

> AAOCAQEAK2BenHnfYuW1agdcYrZJD6+uGC6fNfI6qqmvv9XEPFFW0QfPhu8rESyY

> K3qgf/ED+iCXEk/hudnf09vZ6gygM+P8a/zN3+J3VM5zCb6tn7vM0/cytcJONPtu

> mnZGpDO+XjZDDLYmS6jlB+hO5gXeYyQ1t4Qv/s2H8jPhIWTraV376E+S9o318cva

> 7D7yp3W+ce5ItHs9ObKWOaexVsypAV4USrDaVsfSbyU97G2rCXqmMgRLJdBwZofg

> 04qsgrC8qG28aue1Q88XPa/HQtp0WB/Pxg7oe91s59Je/ETsMkR3vt7aglemyXAJ

> nal67+T/QWgLSJB2pQuPHo51MbA55w==

> -----END NEW CERTIFICATE REQUEST-----" > web_cert.csr

5. Certifique-se de que o CSR seja salvo corretamente com a ajuda do comando cat.

vmanage:~/web$ cat web_cert.csr

-----BEGIN NEW CERTIFICATE REQUEST-----

MIICsjCCAZoCAQAwbTELMAkGA1UEBhMCVVMxCzAJBgNVBAgTAkNBMREwDwYDVQQH

EwhTYW4gSm9zZTEWMBQGA1UEChMNQ2lzY28gU3lzdGVtczEUMBIGA1UECxMLQ2lz

Y28gU0RXQU4xEDAOBgNVBAMTB3ZtYW5hZ2UwggEiMA0GCSqGSIb3DQEBAQUAA4IB

DwAwggEKAoIBAQCRDdIKGUYuDwobn60PeDqfq96d+r5z66VQ8NBTBBhgwZgG57J7

YIY9yNF5oSb+b1xUEXb61Wntq7qSHSzJhFDX0BaL4/c9llOQped3yDElCE0ly3oH

y88yg7TIZjnmz+j8Io92cRXnZLZ9YJwfs9PwEF0Z/4Gw5QIkukdAmLmkeKjOWD2A

4pG2sV8Og+hnhUw8tJ1rKzQKsj2JJmD+ikeZbXu36iZvdKJB34iM2AsmsRbJhUFf

ujUU7O5E0z1nF2SBCJ+fpf7ze75dQRrBT0PA23QRobQEEg5wSMc+G//jD26zBCNg

IEyUAX0/0NQfOqtMmcBm7QJDESseOSufv4b9AgMBAAGgADANBgkqhkiG9w0BAQsF

AAOCAQEAK2BenHnfYuW1agdcYrZJD6+uGC6fNfI6qqmvv9XEPFFW0QfPhu8rESyY

K3qgf/ED+iCXEk/hudnf09vZ6gygM+P8a/zN3+J3VM5zCb6tn7vM0/cytcJONPtu

mnZGpDO+XjZDDLYmS6jlB+hO5gXeYyQ1t4Qv/s2H8jPhIWTraV376E+S9o318cva

7D7yp3W+ce5ItHs9ObKWOaexVsypAV4USrDaVsfSbyU97G2rCXqmMgRLJdBwZofg

04qsgrC8qG28aue1Q88XPa/HQtp0WB/Pxg7oe91s59Je/ETsMkR3vt7aglemyXAJ

nal67+T/QWgLSJB2pQuPHo51MbA55w==

-----END NEW CERTIFICATE REQUEST-----

vmanage:~/web$

6. Com a ajuda do openssl, gere uma chave para o Certificado Raiz chamado rootca.key.

vmanage:~/web$ openssl genrsa -out rootca.key 2048

Generating RSA private key, 2048 bit long modulus

..

..........

e is 65537 (0x10001)

vmanage:~/web$ ls

rootca.key  web_cert.csr

vmanage:~/web$

7. Gere o certificado de CA raiz chamado rootca.pem e assine-o com rootca.key que foi gerado na etapa anterior.

vmanage:~/web$ openssl req -x509 -new -nodes -key rootca.key -sha256 -days 4000 -out rootca.pem

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Country Name (2 letter code) [AU]:US

State or Province Name (full name) [Some-State]:CA

Locality Name (eg, city) []:San Jose

Organization Name (eg, company) [Internet Widgits Pty Ltd]:Cisco Systems

Organizational Unit Name (eg, section) []:Cisco SDWAN

Common Name (e.g. server FQDN or YOUR name) []:vmanage

Email Address []:

vmanage:~/web$ ls

rootca.key  rootca.pem web_cert.csr

vmanage:~/web$

8. Assine seu CSR com o certificado e a chave da autoridade de certificação raiz.

vmanage:~/web$ openssl x509 -req -in web_cert.csr -CA rootca.pem -CAkey rootca.key -CAcreateserial -out web_cert.crt -days 4000 -sha256

Signature ok

subject=/C=US/ST=CA/L=San Jose/O=Cisco Systems/OU=Cisco SDWAN/CN=vmanage

Getting CA Private Key

vmanage:~/web$ ls

rootca.key  rootca.pem rootca.srl  web_cert.crt  web_cert.csr

vmanage:~/web$

9. Copie um novo certificado assinado para o buffer do tipo copiar-colar. Você pode usar cat para visualizar o certificado assinado.

vmanage:~/web$ cat web_cert.crt

-----BEGIN CERTIFICATE-----

MIIDVjCCAj4CCQDXH8GlDhvL4DANBgkqhkiG9w0BAQsFADBtMQswCQYDVQQGEwJV

UzELMAkGA1UECAwCQ0ExETAPBgNVBAcMCFNhbiBKb3NlMRYwFAYDVQQKDA1DaXNj

byBTeXN0ZW1zMRQwEgYDVQQLDAtDaXNjbyBTRFdBTjEQMA4GA1UEAwwHdm1hbmFn

ZTAeFw0xOTEwMjIwODU0MzdaFw0zMDEwMDQwODU0MzdaMG0xCzAJBgNVBAYTAlVT

MQswCQYDVQQIEwJDQTERMA8GA1UEBxMIU2FuIEpvc2UxFjAUBgNVBAoTDUNpc2Nv

IFN5c3RlbXMxFDASBgNVBAsTC0Npc2NvIFNEV0FOMRAwDgYDVQQDEwd2bWFuYWdl

MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAkQ3SChlGLg8KG5+tD3g6

n6venfq+c+ulUPDQUwQYYMGYBueye2CGPcjReaEm/m9cVBF2+tVp7au6kh0syYRQ

19AWi+P3PZZTkKXnd8gxJQhNJct6B8vPMoO0yGY55s/o/CKPdnEV52S2fWCcH7PT

8BBdGf+BsOUCJLpHQJi5pHiozlg9gOKRtrFfDoPoZ4VMPLSdays0CrI9iSZg/opH

mW17t+omb3SiQd+IjNgLJrEWyYVBX7o1FOzuRNM9ZxdkgQifn6X+83u+XUEawU9D

wNt0EaG0BBIOcEjHPhv/4w9uswQjYCBMlAF9P9DUHzqrTJnAZu0CQxErHjkrn7+G

/QIDAQABMA0GCSqGSIb3DQEBCwUAA4IBAQBZAIxV/GI/AP0aw54PA//+QMUs9t+b

i6lhATUuTdyQwOuQSSfGjhWypDsqm3oh86GXmgoxIF1D/UmcOXHKVeK/MZrhZ/P9

USAAnPGyqOha/TqQvPbSMKALHj9cGc9389io2AAeDQqneEcDqie5uOs0M0vBth3V

DXpq8mYgTjhqIUyab4txWZwXvQmZj+Hu2h2S4wj//us92KgE+XcljNeaky/GEZqZ

jWNoWDgWeJdsm8hx2QteHHbDTahuArVJf1p45eLIcJR1k0lRL8TTroWaST1bZCJz

20aYK4S0K0nTkpscuVIrXHkwNN6Ka4q9/rVxnLzAflJ4E9DXojpD3qNH

-----END CERTIFICATE-----

10. Importe o certificado para o vManage. Para fazer isso, navegue para Administração >Configurações > Certificado do servidor Web > Importar e cole o conteúdo do buffer do tipo copiar-colar como mostrado na imagem.

11. Se você fez tudo certo, o vManage mostra Certificado instalado com êxito, como mostrado na imagem.

12. Por fim, verifique o resultado e certifique-se de que a data de validade do certificado foi atualizada com êxito, conforme mostrado na imagem.

Informações Relacionadas

- manual OpenSSL

- Suporte Técnico e Documentação - Cisco Systems