了解vManage的Web证书

简介

本文档介绍思科SD-WAN解决方案上的Web证书和控制器证书之间的区别。 

先决条件

要求

Cisco 建议您了解以下主题：

• 公钥基础设施(PKI)基础知识。

使用的组件

本文档中的信息基于以下软件和硬件版本：

• 思科vManage网络管理系统(NMS)版本20.4.1
• Google Chrome版本94.0

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

思科SD-WAN上使用的证书

Cisco SD-WAN解决方案中使用两种类型的证书；控制器证书和网络证书。

Web证书

用于对vManage进行Web访问。默认情况下，思科会安装自签名证书。自签名证书是安全套接字层(SSL)证书，由自己的创建者签名。但是，思科建议使用自己的Web服务器证书。这尤其适用于网络企业可以拥有具有Web访问限制的防火墙的情况。Cisco不提供由证书颁发机构(CA)颁发的公共Web证书。

有关如何生成vManage Web证书的详细信息，请参阅指南：生成Web服务器证书和如何为vManage生成自签名Web证书

控制器证书

用于在控制器之间构建控制连接，例如vManage、vBonds、vSmarts。这些证书对于整个SD-WAN交换矩阵控制平面至关重要，必须始终保持有效。

有关控制器证书的详细信息，请参阅指南：通过Cisco Systems自动证书签名

了解vManage的Web证书

安全超文本传输协议(HTTPS)是一种互联网通信协议，在此情况下通过vManage GUI保护用户计算机和网站之间的数据的完整性和机密性。当用户访问vManage时，他们期望获得安全专用连接。要获得安全专用连接，您必须获取安全证书。证书由证书颁发机构(CA)颁发，该机构会采取措施验证您的vManage域是否实际属于您的组织。

当用户访问vManage时，用户PC会执行HTTPS连接，并在vManage服务器和安装有用于身份验证的SSL证书的计算机之间建立安全隧道。SSL证书的身份验证在用户计算机上根据设备上安装的有效根CA的数据库执行。通常，计算机已安装了多个CA，例如Google、GoDaddy、企业CA（如果情况如此）和更多公共实体。因此，如果证书签名请求(CSR)由GoDaddy签名（这只是一个示例），则它受信任。

Connection Is Not Private Message On vManage

vManage自签名证书未由CA签名。该证书由同一vManage签署，未由公共CA或专用CA签署，因此不受PC客户端信任。因此，浏览器显示vManage URL的不安全/隐私错误连接。

Google Chrome浏览器默认自签名证书的vMange错误示例，如图所示。

注意：单击view site information选项。证书显示为无效。

主动信息

注册到错误网站名称的证书

确保已为您的站点提供的所有主机名获取Web证书。例如，如果您的证书仅涵盖虚构域www.vManage-example-test。com，使用vManage-example-test加载站点的访问者。com(不含www. 前缀)，如果是 获取由公共CA颁发的签名证书，该证书受信任，但会收到另一个错误以及证书名称不匹配错误。

注意：当SSL/TLS证书的公用名与浏览器中的域或地址栏不匹配时，会发生公用名不匹配错误。

相关信息

• CSR解码器
• 生成证书签名请求
• 技术支持和文档 - Cisco Systems