Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Solicitar e Instalar um novo Certificado de Identidade com o ASDM

Solicitar e instalar um novo certificado de identidade com CSR (Certificate Signing Request, Solicitação de assinatura de certificado)

Gerar um CSR com ASDM

Criar um ponto de confiança com um nome específico

(Opcional) Crie um novo par de chaves

Escolha o nome do par de chaves

Configurar o assunto do certificado e o nome de domínio totalmente qualificado (FQDN)

Gerar e salvar o CSR

Instalar o Certificado de Identidade no formato PEM com o ASDM

Instalar o certificado de autoridade de certificação que assinou o CSR

Instalar certificado de identidade

Vincular o Novo Certificado à Interface com o ASDM

Instalar um certificado de identidade recebido no formato PKCS12 com ASDM

Instalar os certificados de identidade e CA de um arquivo PKCS12

Vincular o Novo Certificado à Interface com o ASDM

Renovação de certificado

Renove um certificado registrado com CSR (Certificate Signing Request, solicitação de assinatura de certificado) com ASDM

Gerar um CSR com ASDM

Crie um Novo Ponto de Confiança com um Nome Específico.

(Opcional) Crie um novo par de chaves

Selecione o nome do par de chaves

Configurar o assunto do certificado e o nome de domínio totalmente qualificado (FQDN)

Gerar e salvar o CSR

Instalar o Certificado de Identidade no Formato PEM com o ASDM

Instalar o certificado de autoridade de certificação que assinou o CSR

Instalar certificado de identidade

Vincular o Novo Certificado à Interface com o ASDM

Renove um certificado registrado com o arquivo PKCS12 com ASDM

Instalar o certificado de identidade renovado e os certificados CA de um arquivo PKCS12

Vincular o Novo Certificado à Interface com o ASDM

Verificar

Exibir certificados instalados via ASDM

Troubleshoot

Perguntas mais freqüentes

Introduction

Este documento descreve como solicitar, instalar, confiar e renovar determinados tipos de certificados no software Cisco ASA gerenciado com o ASDM.

Prerequisites

Requirements

- Antes de começar, verifique se o Adaptive Security Appliance (ASA) tem a hora, a data e o fuso horário corretos. Com a autenticação de certificado, é recomendável usar um servidor Network Time Protocol (NTP) para sincronizar a hora no ASA. Consulte Informações Relacionadas para referência.

- Para solicitar um certificado que use a CSR (Certificate Signing Request, Solicitação de assinatura de certificado), é necessário ter acesso a uma CA (Certificate Authority, Autoridade de certificação) de terceiros ou interna confiável. Exemplos de fornecedores de CA de terceiros incluem, entre outros, Entrust, Geotrust, GoDaddy, Thawte e VeriSign.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- ASAv 9.18.1

- Para a criação de PKCS12, o OpenSSL é usado.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Os tipos de certificados que este documento aborda são:

- certificados autoassinados

- certificados assinados por uma autoridade de certificação de terceiros ou CA interna

O protocolo SSL (Secure Socket Layer), o protocolo TLS (Transport Layer Security) e o protocolo IKEv2 rfc7296 para autenticação EAP exigem que o servidor SSL/TLS/IKEv2 forneça ao cliente um certificado de servidor para que ele execute a autenticação do servidor. Para essa finalidade, é recomendável usar CAs de terceiros confiáveis para emitir certificados SSL para o ASA.

A Cisco não recomenda o uso de um certificado autoassinado, devido à possibilidade de um usuário configurar inadvertidamente um navegador para confiar em um certificado de um servidor invasor. Também há a inconveniência de os usuários responderem a um aviso de segurança quando ele se conectar ao gateway seguro.

Solicitar e Instalar um novo Certificado de Identidade com o ASDM

Um certificado pode ser solicitado de uma Autoridade de Certificação (CA) e instalado em um ASA de duas maneiras:

- Use a CSR (Certificate Signing Request, Solicitação de assinatura de certificado). Gere um par de chaves, solicite um certificado de identidade da CA com um CSR, instale o certificado de identidade assinado obtido da CA.

- Use o arquivo PKCS12 obtido de uma CA ou exportado de um dispositivo diferente. O arquivo PKCS12 contém par de chaves, certificado de identidade, certificado(s) CA.

Solicitar e instalar um novo certificado de identidade com CSR (Certificate Signing Request, Solicitação de assinatura de certificado)

Um CSR é criado no dispositivo que precisa de um certificado de identidade, use um par de chaves criado no dispositivo.

Um CSR contém:

- informações de solicitação de certificado - assunto solicitado e outros atributos, chave pública do par de chaves

- informação de algoritmo de assinatura

- assinatura digital de informações de solicitação de certificado, usando a chave privada do par de chaves

O CSR é passado para a Autoridade de Certificação (CA) para assinatura em um formulário PKCS#10.

O certificado assinado é retornado da CA em um formulário PEM.

Observação: a CA pode alterar os parâmetros FQDN e Nome do assunto definidos no ponto de confiança ao assinar o CSR e criar o Certificado de Identidade assinado.

Gerar um CSR com ASDM

1. Criar um ponto de confiança com um nome específico

1. Navegue até Configuration > Device Management >Certificate Management > Identity Certificates.

2. Clique em Add.

3. Defina um nome de ponto confiável.

4. Clique no botão de rádio Add a new identity certificate (Adicionar um novo certificado de identidade).

2. (Opcional) Crie um novo par de chaves

Nota: Por padrão, é usada a chave RSA com o nome Default-RSA-Key e o tamanho 2048; no entanto, recomenda-se usar um par de chaves privado/público exclusivo para cada certificado de identidade.

1. Clique em New para gerar um novo par de chaves.

2. Escolha a opção Enter new Key Pair name e insira um nome para o novo par de chaves.

3. Escolha o tipo de chave-RSA ou ECDSA.

4. Escolha o tamanho da chave; para RSA, escolha General purpose for Usage.

5. Clique em Generate CSR (Gerar CSR). O par de chaves foi criado.

3. Escolha o nome do par de chaves

- Escolha o par de chaves com o qual assinar o CSR e que será vinculado ao novo certificado.

4. Configurar o assunto do certificado e o nome de domínio totalmente qualificado (FQDN)

Cuidado: o parâmetro FQDN deve corresponder ao FQDN ou ao endereço IP da interface ASA para a qual o Certificado de Identidade é usado. Este parâmetro define a extensão solicitada do SAN (Nome Alternativo da Entidade) para o Certificado de Identidade. A extensão SAN é usada pelo cliente SSL/TLS/IKEv2 para verificar se o certificado corresponde ao FQDN ao qual ele está se conectando.

1. Clique em Selecionar.

2. Na janela Certificate Subject DN (DN do assunto do certificado), configure certificate attributes - escolha o atributo na lista suspensa, digite o valor e clique em Add.

Atributo

Descrição

CN

O nome pelo qual o firewall pode ser acessado (geralmente o nome de domínio totalmente qualificado, por exemplo, vpn.example.com).

OU

O nome do seu departamento na organização

O

O nome legalmente registrado da sua organização/empresa

C

Código do país (código de 2 letras sem pontuação)

ST

O estado no qual sua organização está localizada.

I

A cidade em que sua organização está localizada.

EA

Endereço de e-mail

Observação: nenhum dos campos anteriores pode exceder um limite de 64 caracteres. Exceder esse limite pode causar problemas mais tarde ao tentar instalar o Certificado de Identidade. Além disso, não é necessário definir todos os atributos DN.
Clique em OK depois de adicionar todos os atributos.

3. Configure o FQDN do dispositivo - clique em Avançado.

4. No campo FQDN, insira o nome de domínio totalmente qualificado pelo qual o dispositivo pode ser acessado a partir da Internet. Click OK.

5. Gerar e salvar o CSR

1. Clique em Add Certificate (Adicionar certificado).

2. Um prompt é exibido para salvar o CSR em um arquivo na máquina local.

Clique em Browse (Procurar), escolha um local para salvar o CSR e salve o arquivo com a extensão .txt.
Observação: quando o arquivo é salvo com uma extensão .txt, a solicitação PKCS#10 pode ser aberta e visualizada com um editor de texto (como o Notepad).

3. Agora o novo ponto de confiança é exibido em um estado Pendente.

Instalar o Certificado de Identidade no formato PEM com o ASDM

As etapas de instalação pressupõem que a CA assinou o CSR e forneceu um certificado de identidade codificado PEM (.pem, .cer, .crt) e um pacote de certificados CA.

1. Instalar o certificado de autoridade de certificação que assinou o CSR

1. Navegue até Configuration > Device Management >Certificate Management > e escolha CA Certificates. Clique em Add.

2. Insira o nome do ponto de confiança e selecione Instalar do arquivo, clique no botão Procurar e selecione o certificado intermediário. Como alternativa, cole o certificado CA codificado PEM de um arquivo de texto no campo de texto.

Observação: instale o certificado CA que assinou o CSR e use o mesmo nome de Ponto de Confiança do Certificado de Identidade. Os outros certificados CA mais altos na hierarquia PKI podem ser instalados em Pontos Confiáveis separados.

3. Clique em Install certificate (Instalar certificado).

2. Instalar certificado de identidade

1. Escolha o Certificado de Identidade criado anteriormente durante a geração do CSR. Clique em Instalar.

Observação: o Certificado de identidade pode ter o campo "Emitido por" como indisponível e o campo "Data de expiração" como pendente.

2. Escolha um arquivo que contenha o Certificado de Identidade codificado PEM recebido da CA ou abra o certificado codificado PEM em um editor de texto e copie e cole o Certificado de Identidade fornecido pela CA no campo de texto.

Observação: o certificado de identidade pode estar no formato .pem, .cer, .crt para instalar.

3. Clique em Install certificate (Instalar certificado).

3. Vincular o Novo Certificado à Interface com o ASDM
O ASA precisa ser configurado para usar o novo Certificado de Identidade para sessões WebVPN que terminam na interface especificada.

1. Navegue até Configuration > Remote Access VPN > Advanced > SSL Settings (Configuração > VPN de acesso remoto > Avançado > Configurações SSL).

2. Em certificados, escolha a interface usada para encerrar sessões de WebVPN. Neste exemplo, a interface externa é usada.
Clique em Editar.

3. Na lista suspensa Certificate (Certificado), escolha o certificado recém-instalado.

4. Click OK.

5. Clique em Apply.

Agora o novo Certificado de Identidade está em uso.

Instalar um certificado de identidade recebido no formato PKCS12 com ASDM

O arquivo PKCS12 (formato .p12 ou .pfx) contém certificado de identidade, par de chaves e certificado(s) de autoridade de certificação. Ele é criado pela CA, por exemplo, no caso de um certificado curinga, ou exportado de um dispositivo diferente. É um arquivo binário, não pode ser exibido com o editor de texto.

1. Instalar os certificados de identidade e CA de um arquivo PKCS12
O Certificado de identidade, o(s) certificado(s) de CA e o par de chaves precisam ser agrupados em um único arquivo PKCS12.

1. Navegue para Configuration > Device Management > Certificate Management e escolha Identity Certificates.

2. Clique em Add.

3. Especifique um nome de Trustpoint.

4. Clique no botão de rádio Import the identity certificate from a file (Importar o certificado de identidade de um arquivo).

5. Insira a senha usada para criar o arquivo PKCS12.

6. Clique em Add Certificate (Adicionar certificado).

Observação: quando você importa um PKCS12 com uma cadeia de certificados CA, o ASDM cria automaticamente os pontos de confiança da CA de upstream com nomes com sufixo -number adicionado.

2. Vincular o Novo Certificado à Interface com o ASDM
O ASA precisa ser configurado para usar o novo Certificado de Identidade para sessões WebVPN que terminam na interface especificada.

1. Navegue até Configuration > Remote Access VPN > Advanced > SSL Settings (Configuração > VPN de acesso remoto > Avançado > Configurações SSL).

2. Em Certificates (Certificados), selecione a interface usada para encerrar sessões de WebVPN. Neste exemplo, a interface externa é usada.
Clique em Editar.

3. Na lista suspensa Certificate (Certificado), escolha o certificado recém-instalado.

4. Click OK.

5. Clique em Apply.

Agora o novo Certificado de Identidade está em uso.

Renovação de certificado

Renove um certificado registrado com CSR (Certificate Signing Request, solicitação de assinatura de certificado) com ASDM

A renovação de certificado registrado CSR requer a criação e a inscrição de um novo ponto de confiança. Ele precisa ter um nome diferente (por exemplo, nome antigo com sufixo de ano de inscrição). Ele pode usar os mesmos parâmetros e Par de chaves que o certificado antigo, ou pode usar diferentes.

Gerar um CSR com ASDM

1. Crie um Novo Ponto de Confiança com um Nome Específico.

1. Navegue até Configuration > Device Management >Certificate Management > Identity Certificates.

2. Clique em Add.

3. Defina um nome de ponto confiável.

4. Clique no botão de rádio Add a new identity certificate (Adicionar um novo certificado de identidade).

2. (Opcional) Crie um novo par de chaves

Nota: Por padrão, é usada a chave RSA com o nome Default-RSA-Key e o tamanho 2048; no entanto, recomenda-se usar um par de chaves privado/público exclusivo para cada certificado de identidade.

1. Clique em New para gerar um novo par de chaves.

2. Escolha a opção Enter new Key Pair name e insira um nome para o novo par de chaves.

3. Escolha o tipo de chave-RSA ou ECDSA.

4. Escolha o tamanho da chave; para RSA, escolha Uso geral.

5. Clique em Generate CSR (Gerar CSR). O par de chaves foi criado.

3. Selecione o nome do par de chaves

- Escolha o par de chaves com o qual assinar o CSR e que será vinculado ao novo certificado.

4. Configurar o assunto do certificado e o nome de domínio totalmente qualificado (FQDN)

Cuidado: o parâmetro FQDN deve corresponder ao FQDN ou ao endereço IP da interface ASA para a qual o certificado é usado. Esse parâmetro define o SAN (Nome Alternativo da Entidade) do certificado. O campo SAN é usado pelo cliente SSL/TLS/IKEv2 para verificar se o certificado corresponde ao FQDN ao qual ele está se conectando.

Observação: a CA pode alterar os parâmetros FQDN e Nome do assunto definidos no ponto de confiança ao assinar o CSR e criar o Certificado de Identidade assinado.

1. Clique em Selecionar.

2. Na janela Certificate Subject DN (DN do assunto do certificado), configure certificate attributes - selecione o atributo na lista suspensa, digite o valor e clique em Add.

Atributo

Descrição

CN

O nome pelo qual o firewall pode ser acessado (geralmente o nome de domínio totalmente qualificado, por exemplo, vpn.example.com).

OU

O nome do seu departamento na organização

O

O nome legalmente registrado da sua organização/empresa

C

Código do país (código de 2 letras sem pontuação)

ST

O estado no qual sua organização está localizada.

I

A cidade em que sua organização está localizada.

EA

Endereço de e-mail

Observação: nenhum dos campos anteriores pode exceder um limite de 64 caracteres. Exceder esse limite pode causar problemas mais tarde ao tentar instalar o Certificado de Identidade. Além disso, não é necessário definir todos os atributos DN.
Clique em OK depois de adicionar todos os atributos.

3. Para configurar o FQDN do dispositivo, clique em Avançado.

4. No campo FQDN, insira o nome de domínio totalmente qualificado pelo qual o dispositivo pode ser acessado a partir da Internet. Click OK.

5. Gerar e salvar o CSR

1. Clique em Add Certificate (Adicionar certificado).

2. Um prompt é exibido para salvar o CSR em um arquivo na máquina local.

Clique em Procurar. Escolha um local para salvar o CSR e salve o arquivo com a extensão .txt.
Observação: quando o arquivo é salvo com uma extensão .txt, a solicitação PKCS#10 pode ser aberta e visualizada com um editor de texto (como o Notepad).

3. Agora o novo ponto de confiança é exibido em um estado Pendente.

Instalar o Certificado de Identidade no Formato PEM com o ASDM

As etapas de instalação pressupõem que a CA assinou o CSR e forneceu um novo certificado de identidade e um pacote de certificado de CA codificados em PEM (.pem, .cer, .crt).

1. Instalar o certificado de autoridade de certificação que assinou o CSR
O certificado CA que assinou o Certificado de Identidade pode ser instalado no Ponto de Confiança criado para o Certificado de Identidade. Se o Certificado de Identidade for assinado por uma autoridade de certificação intermediária, esse certificado de autoridade de certificação poderá ser instalado no Ponto de Confiança do Certificado de Identidade. Todos os certificados de autoridade de certificação upstream na hierarquia podem ser instalados em pontos confiáveis de autoridade de certificação separados.

1. Navegue até Configuration > Device Management >Certificate Management > e escolha CA Certificates. Clique em Add.

2. Insira o nome do ponto de confiança e escolha Instalar do arquivo, clique no botão Procurar e escolha o certificado intermediário. Como alternativa, cole o certificado CA codificado PEM de um arquivo de texto no campo de texto.

Observação: instale o certificado intermediário com o mesmo nome de ponto de confiança do Certificado de Identidade, se o Certificado de Identidade for assinado pelo certificado CA intermediário.

3. Clique em Install certificate (Instalar certificado).

No exemplo, o novo certificado é assinado com o mesmo certificado CA que o antigo. O mesmo certificado CA está associado a dois pontos confiáveis agora.

2. Instalar certificado de identidade

1. Escolha o Certificado de Identidade criado anteriormente com a geração de CSR. Clique em Instalar.

Observação: o campo Certificado de identidade pode ter Emitido por como indisponível e o campo Data de expiração como pendente.

2. Escolha um arquivo que contenha o Certificado de Identidade codificado PEM recebido da CA ou abra o certificado codificado PEM em um editor de texto e copie e cole o Certificado de Identidade fornecido pela CA no campo de texto.

Observação: o certificado de identidade pode estar no formato .pem, .cer, .crt para instalar.

3. Clique em Install certificate (Instalar certificado).

Após a instalação, há certificados de identidade novos e antigos presentes.

3. Vincular o Novo Certificado à Interface com o ASDM
O ASA precisa ser configurado para usar o novo Certificado de Identidade para sessões WebVPN que terminam na interface especificada.

1. Navegue até Configuration > Remote Access VPN > Advanced > SSL Settings (Configuração > VPN de acesso remoto > Avançado > Configurações SSL).

2. Em certificados, escolha a interface usada para encerrar sessões de WebVPN. Neste exemplo, a interface externa é usada.
Clique em Editar.

3. Na lista suspensa Certificate (Certificado), escolha o certificado recém-instalado.

4. Click OK.

5. Clique em Apply. Agora o novo Certificado de Identidade está em uso.

Renove um certificado registrado com o arquivo PKCS12 com ASDM

A renovação de certificado registrado no PKCS12 requer a criação e a inscrição de um novo ponto confiável. Ele precisa ter um nome diferente (por exemplo, nome antigo com sufixo de ano de inscrição).

O arquivo PKCS12 (formato .p12 ou .pfx) contém certificado de identidade, par de chaves e certificado(s) de autoridade de certificação. Ele é criado pela CA, por exemplo, no caso de um certificado curinga, ou exportado de um dispositivo diferente. É um arquivo binário e não pode ser exibido com o editor de texto.

1. Instalar o certificado de identidade renovado e os certificados CA de um arquivo PKCS12
O Certificado de identidade, o(s) certificado(s) de CA e o par de chaves precisam ser agrupados em um único arquivo PKCS12.

1. Navegue até Configuration > Device Management > Certificate Management e escolha Identity Certificates.

2. Clique em Add.

3. Especifique um novo nome de Ponto de Confiabilidade.

4. Clique no botão de rádio Import the identity certificate from a file (Importar o certificado de identidade de um arquivo).

5. Insira a senha usada para criar o arquivo PKCS12.

6. Clique em Add Certificate (Adicionar certificado).

Observação: ao importar um PKCS12 com cadeia de certificados de CAs, o ASDM cria automaticamente os pontos de confiança de CAs upstream com nomes com sufixo -number adicionado.

2. Vincular o Novo Certificado à Interface com o ASDM
O ASA precisa ser configurado para usar o novo Certificado de Identidade para sessões WebVPN que terminam na interface especificada.

1. Navegue até Configuration > Remote Access VPN > Advanced > SSL Settings (Configuração > VPN de acesso remoto > Avançado > Configurações SSL).

2. Em certificados, escolha a interface usada para encerrar sessões de WebVPN. Neste exemplo, a interface externa é usada.
Clique em Editar.

3. Na lista suspensa Certificate (Certificado), escolha o certificado recém-instalado.

4. Click OK.

5. Clique em Apply.

Agora o novo Certificado de Identidade está em uso.

Verificar

Use estas etapas para verificar se a instalação do Certificado de fornecedor de terceiros foi bem-sucedida e o uso para conexões VPN SSL.

Exibir certificados instalados via ASDM

1. Navegue até Configuration > Remote Access VPN > Certificate Management (Configuração > Acesso remoto > Gerenciamento) e escolha Identity Certificates (Certificados de identidade).

2. O Certificado de Identidade emitido pelo fornecedor terceirizado pode ser exibido.

Troubleshoot

Esses comandos debug devem ser coletados na CLI no caso de uma falha na instalação do certificado SSL.

- debug crypto ca 255

- debug crypto ca messages 255

- debug crypto ca transactions 255

Perguntas mais freqüentes

P.O que é um PKCS12?

R.Na criptografia, o PKCS12 define um formato de arquivo para armazenar muitos objetos de criptografia como um único arquivo. É comumente usado para agrupar uma chave privada com seu certificado X.509 ou para agrupar todos os membros de uma cadeia de confiança.

P.O que é CSR?

R.Nos sistemas de infraestrutura de chave pública (PKI), um pedido de assinatura de certificado (também CSR ou pedido de certificação) é uma mensagem enviada de um requerente a uma autoridade de registro da infraestrutura de chave pública para solicitar um certificado de identidade digital. Ele geralmente contém a chave pública para a qual o certificado pode ser emitido, identificando informações (como um nome de domínio) e proteção de integridade (por exemplo, uma assinatura digital).

P.Onde está a senha do PKCS12?

R.Se você estiver exportando o arquivo PKCS12, a senha estará no comando que você precisa inserir.  Se você recebeu um arquivo pkcs12, a senha é fornecida a você pela pessoa/parte proprietária do servidor CA.

P.Qual é a diferença entre a raiz e a identidade?

R.Na criptografia e na segurança do computador, um certificado raiz é um certificado de chave pública que identifica uma autoridade de certificação raiz (CA). Os certificados raiz são autoassinados (e é possível que um certificado tenha vários caminhos confiáveis, digamos que o certificado tenha sido emitido por uma raiz que foi assinada) e formam a base de uma infraestrutura de chave pública (PKI) baseada em X.509. Um certificado de chave pública, também conhecido como certificado digital ou certificado de identidade, é um documento eletrônico usado para provar a propriedade de uma chave pública. O certificado inclui informações sobre a chave, informações sobre a identidade do seu proprietário (denominada entidade) e a assinatura digital de uma entidade que verificou o conteúdo do certificado (denominada emitente). Se a assinatura for válida e o software que examina o certificado confiar no emissor, ele poderá usar essa chave para se comunicar com segurança com o requerente do certificado.

P.Instalei o certificado, por que não está funcionando?

R.Isso pode ser devido a muitas razões:

1. O certificado e o ponto de confiança estão configurados, mas não foram vinculados ao processo.  Por exemplo, não configurar o ponto confiável para a interface externa a ser usada para o Anyconnect.

2. Um arquivo pkcs12 está instalado, mas gera erros porque o certificado raiz não está no arquivo pkcs12.

3. O Cert pode falhar durante um processo por não ter os parâmetros corretos.  Por exemplo, ao configurar um túnel VPN, o Cert está falhando porque o Emissor do Signatário (Cert Raiz) não é o mesmo.  Assim, o Cert não é confiável.

P. A instalação de um novo certificado pode exigir uma janela de manutenção ou causar tempo de inatividade?

R.Você não precisa programar uma janela de manutenção para instalar um certificado.  Ele também não pode exigir tempo de inatividade.

P.Ele pode desconectar os usuários?

R.Não, os usuários que estão conectados no momento podem permanecer conectados.  Depois de se reconectarem, eles poderão usar o novo certificado.

P.Como posso criar um CSR com um curinga? Ou uma SAN?

R.Atualmente, o ASA/FTD não oferece suporte a isso; no entanto, esse processo pode ser feito usando o OpenSSL. Para gerar a chave CSR e ID, você pode executar os comandos:

openssl genrsa -out id.key 2048

openssl req -out id.csr -key id.key -new

P.Pode entrar em vigor imediatamente?

R.Não, a instalação do certificado não pode fazer com que o Anyconnect use o novo certificado imediatamente.  Ele pode ser usado na próxima vez que o host se conectar.

P.Como posso verificar se a instalação funcionou?

R.O comando CLI a ser verificado: show crypto ca cert <nome_do_ponto_de_confiança>

P.Como gerar PKCS12 a partir de identidade, CA e chave?

R.Usando o OpenSSL com o comando:

openssl pkcs12 -export -out p12.pfx -inkey id.key -in id.crt -certfile ca.crt

P. Como exportar o certificado para instalá-lo em um novo ASA?

A.

- Com CLI: o comando CLI: crypto ca export <nome_do_ponto_de_confiança> pkcs12 <senha

- Com ASDM:

1. Navegue para Configuration > Device Management > Certificate Management > Identity Certificates e escolha o Identity Certificate. Clique em Exportar.

2. Escolha para onde exportar o arquivo, especifique a senha de exportação e clique em Export Certificate.

O certificado exportado pode estar no disco do computador. Por favor, tome nota da senha em um lugar seguro, o arquivo é inútil sem ele.

P.Se as chaves ECDSA forem usadas, o processo de geração de certificado SSL será diferente?

R.A única diferença na configuração é a etapa de geração do par de chaves, onde um par de chaves ECDSA pode ser gerado em vez de um par de chaves RSA. O restante do endereço permanece o mesmo.

P.É sempre necessário gerar um novo par de chaves?

R.A etapa de geração do par de chaves é opcional. O par de chaves existente pode ser usado ou, no caso de PKCS12, o par de chaves é importado com o certificado. Consulte a seção Selecionar o Nome do Par de Chaves para o respectivo tipo de inscrição/reinscrição.

P.É seguro gerar um novo par de chaves para um novo certificado de identidade?

R.O processo é seguro desde que um novo nome de par de chaves seja usado. Nesse caso, os antigos Pares de Chave não são alterados.

P.É necessário gerar a chave novamente quando um firewall é substituído (como RMA)?

R.O novo firewall por design não tem Pares de chaves presentes no firewall antigo.

O backup da configuração atual não contém os Pares de Chaves.

O backup completo feito com o ASDM pode conter os Pares de Chaves.

Os Certificados de Identidade podem ser exportados de um ASA usando ASDM ou CLI, antes de falhar.

No caso do par de failover, os certificados e os pares de chaves são sincronizados com uma unidade em espera com o comando "write standby". No caso de um nó do par de failover ser substituído, é suficiente configurar o failover básico e enviar a configuração para o novo dispositivo.

Caso um par de chaves seja perdido com o dispositivo e não haja backup, um novo certificado precisa ser assinado, com o par de chaves presente no novo dispositivo.