Entender as informações do certificado para criar uma cadeia de WLC 9800

Introdução

Este documento descreve como decodificar um certificado com ferramentas online conhecidas e sua interpretação para criar uma cadeia de certificados na WLC 9800.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento básico destes tópicos:

• Controlador de LAN sem fio (WLC) do Cisco Catalyst 9800
• Conceito de certificado digital, CSR (Certificate Signing Request).
• Software OpenSSL.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Software OpenSSL na versão 1.1.1w
• computador Windows

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Geração de CSR

O CSR pode ser gerado no controlador ou com o OpenSSL. 

Para gerar um CSR no 9800 WLC, navegue para Configuration > Security > PKI Management > Add Certificate > Generate Certificate Signing Request.

Quando uma solicitação de assinatura de certificado é gerada, informações como chave privada, nome comum (CN), código do país, estado, local, organização e unidade organizacional são necessárias.

Geração de CSR no WLC

Todas as informações de CSR preenchidas na solicitação são exibidas na decodificação.

O software OpenSSL é a única fonte verdadeira quando um certificado é decodificado. Ele mostra todas as informações sobre ele.

Para decodificar um certificado em um computador Windows ou MacBook com OpenSSL instalado, abra o Prompt de Comando como Administrador e execute o comando openssl x509 -in <certificate.crt> -text -noout. A saída é mostrada como informações do console.

Há outras ferramentas online para decodificar certificados que mostram a saída de uma forma mais fácil de usar, como CertLogik e SSL Shopper, que não são apresentadas neste documento.

Lembre-se de que eles usam o mesmo comando OpenSSL já mencionado para decodificar os certificados.

Certificado de Terceiros

O CSR é enviado à Autoridade de Certificação (CA) para que seja assinado e devolvido. Faça o download de toda a cadeia de certificados para poder carregá-la na WLC.

Para entender a cadeia de um certificado, todos os arquivos recebidos pela CA podem ser decodificados. Verifique se eles estão no formato Base64.

Você pode receber vários arquivos da autoridade de certificação. Depende do número de arquivos CA intermediários.

Para identificar cada arquivo, você precisa decodificá-lo.

Quando um certificado assinado é decodificado, a seção Emissor é adicionada. Refere-se à CA que assinou o certificado.

Se você decodificar um arquivo CSR que não está assinado, a seção Emissor não existirá porque ele ainda não foi assinado.

Este é um exemplo de um cenário de autorização multinível ou certificado encadeado:

• CA raiz
• Certificado CA intermediário
• Certificado do dispositivo

CA raiz decodificada

Para uma CA raiz, como é a autoridade mais alta da cadeia, Emissor e Assunto devem ser iguais.

CA raiz decodificada

CA Intermediário Decodificado

Para a CA intermediária, como é assinada pela CA raiz, o emissor deve corresponder ao CN da CA raiz.

CA Intermediário Decodificado

Certificado de dispositivo decodificado

Para o Certificado do Dispositivo, como é assinado pela CA Intermediária, o Emissor deve corresponder ao CN da CA Intermediária

Certificado de dispositivo decodificado

Em um cenário em que mais de 1 CA intermediário é usado, use o mesmo processo de decodificação.

Depois que a ordem de encadeamento é identificada, ela pode ser carregada no controlador.

A WLC 9800 precisa de toda a cadeia na ordem correta para que o certificado possa operar corretamente.

Para as etapas subsequentes de carregamento de um certificado para o controlador, consulte Gerar e Download de Certificados CSR nas WLCs do Catalyst 9800.

Certifique-se de que você compreende o processo de decodificação antes de continuar. Em caso afirmativo, as próximas etapas precisam ser concluídas para que um certificado Web Auth, Web Admin ou Management seja carregado em uma WLC 9800.