目录

简介

先决条件

要求

使用的组件

配置

网络图

部署注意事项

配置

（可选）与TACACS服务器集成

验证

故障排除

相关信息

简介

本文档介绍如何根据标准RFC6187在IOS设备上使用x509v3证书配置SSH服务器。

安全外壳协议(SSH)提供相互身份验证，即客户端和服务器都经过身份验证。传统上，服务器使用RSA私钥和公钥对进行身份验证。SSH客户端计算公钥的校验和并询问管理员其是否受信任。管理员应使用带外方法从路由器导出公钥，并比较值。实际上，这是一种繁琐的方法，通常在未经验证的情况下接受公钥，这会导致中间人攻击的潜在风险。

RFC6187标准是解决这一问题的一种解决方案，因为它提供与通常用于保护基于Web的传输的TLS（传输层安全）协议相似的安全级别和用户体验。

先决条件

要求

Cisco 建议您了解以下主题：

- PKI基础设施

使用的组件

本文档中的信息基于以下软件和硬件版本：

- 运行IOS-XE版本16.6.1的CSR 1000v路由器

- Pragma Fortress SSH客户端

- Windows Server 2016 OCSP服务器

- 身份服务引擎版本2.1

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

配置

网络图

部署注意事项

- 安 RFC6187兼容的SSH客户端是利用该功能的必要条件。

- 此功能已在IOS版本15.5(2)T和IOS-XE版本15.5(2)S中实施。

- SSH客户端和服务器协商支持的身份验证机制。之前在设备上支持的所有身份验证机制都可以继续与基于x509的身份验证机制同时运行，以确保平稳过渡。

- 管理员可以选择仅对服务器、仅客户端或同时对两者使用基于x509的身份验证方法。

- IOS服务器可以验证客户端提供的证书是否未撤销。为此，在每次连接时都会查询已撤销证书的数据库。这允许撤销访问，而无需重新配置其他设备，以防证书的私钥被破坏或特定用户的访问需要被撤销。

- 撤销检查是可选的，但强烈建议根据受感染的凭证拒绝访问。另一个选项是对从外部终端访问控制器访问控制系统(TACACS)或RADIUS服务器上的证书获取的用户名执行授权。如果证书受到危害，可以在外部服务器上禁用该帐户，以阻止使用该证书进行访问。

- 用户授权可由外部服务器执行，也可跳过（假定具有访问设备权限的有效证书的所有用户）。 为简单起见，在本例中使用了前一种方法。

- 为了成功验证对方的身份验证数据，客户端和服务器只需信任一个通用证书颁发机构(CA)。 这意味着只需在客户端设备受信任证书存储区上安装签署路由器证书的CA证书。

- 证书提供有关另一方身份的信息（通用名称和使用者备用名称通常用于此目的）。 客户端应将管理员输入的服务器的主机名或IP地址名称与提供的证书中可用的身份数据进行比较。它严重限制了中间人或其他假冒攻击的机会。

配置

配置AAA参数。在基本场景（没有外部授权服务器）中，可以跳过从证书获取的用户名的授权。

aaa new-model

aaa authorization network CERT none

配置保存CA证书和路由器证书的信任点（可选）。

crypto pki trustpoint SSH

enrollment mode ra

enrollment url http://10.1.1.2:80/CertSrv/mscep/mscep.dll

serial-number

ip-address 10.0.0.1

subject-name cn=10.0.0.1

revocation-check ocsp

ocsp url http://10.1.1.2/ocsp

rsakeypair SSH 2048

authorization list CERT

! The username has to be fetched from the certificate for accounting and authorization purposes. Multiple options are available.

authorization username subjectname commonname

提示：如果OCSP服务器无法访问，管理员可以选择通过使用revocation-check ocsp配置来禁止所有访问，或者使用revocation-check ocsp none（不推荐）来允许无撤销检查的访问（不推荐）。

配置SSH隧道协商期间使用的允许的身份验证机制。

! Alorithms used to authenticate server

ip ssh server algorithm hostkey x509v3-ssh-rsa ssh-rsa

! Acceptable algorithms used to authenticate the client

ip ssh server algorithm authentication publickey password keyboard

! Acceptable pubkey-based algorithms used to authenticate the client

ip ssh server algorithm publickey x509v3-ssh-rsa ssh-rsa

配置SSH服务器以在身份验证过程中使用正确的证书。

ip ssh server certificate profile

! Certificate used by server

server

trustpoint sign SSH

! CA used to authenticate client certificates

user

trustpoint verify SSH

（可选）与TACACS服务器集成

从证书获取用户名后，IOS可以针对TACACS服务器对该用户名执行授权。如果TACACS服务器已部署用于设备管理，则此功能特别有用。

注意：IOS SSH服务器当前不支持身份验证方法链。这意味着，如果证书用于对用户进行身份验证，则TACACS服务器不能用于密码身份验证。它只能用于授权。

配置TACACS服务器。

tacacs server ISE

address ipv4 10.1.1.3

key cisco123

配置授权列表以使用TACACS服务器。

aaa authorization network ISE group tacacs+

1.配置ISE（身份服务引擎）。 配置示例位于：

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/200208-Configure-ISE-2-0-IOS-TACACS-Authentic.html

2.配置TACACS配置文件。要成功进行授权，需要配置其他参数cert-application=all，请导航至Work Centers > Device Administration > Policy Elements > Results > TACACS profiles > Add。

3.要配置策略集，请导航至“工作中心”>“设备管理”>“设备管理策略集”>“添加”。

验证

show ip ssh

SSH Enabled - version 1.99

Authentication methods:publickey,password,keyboard-interactive

Authentication Publickey Algorithms:x509v3-ssh-rsa,ssh-rsa

Hostkey Algorithms:x509v3-ssh-rsa,ssh-rsa

--- output truncated ----

show users

Line User Host(s) Idle Location

1 vty 0 admin1 idle 00:02:37 192.168.1.100

故障排除

这些调试用于跟踪成功的会话：

debug ip ssh detail

debug crypto pki transactions

debug crypto pki messages

debug crypto pki validation

Aug 21 20:07:08.717: SSH0: starting SSH control process

! Server identifies itself

Aug 21 20:07:08.717: SSH0: sent protocol version id SSH-1.99-Cisco-1.25

! Client identifies itself

Aug 21 20:07:08.771: SSH0: protocol version id is - SSH-2.0-Pragma FortressCL 5.0.10.766

Aug 21 20:07:08.771: SSH2 0: kexinit sent: kex algo = diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1

! Authentication algorithms supported by server

Aug 21 20:07:08.771: SSH2 0: kexinit sent: hostkey algo = x509v3-ssh-rsa,ssh-rsa

Aug 21 20:07:08.772: SSH2 0: kexinit sent: encryption algo = aes128-ctr,aes192-ctr,aes256-ctr

Aug 21 20:07:08.772: SSH2 0: kexinit sent: mac algo = hmac-sha2-256,hmac-sha2-512,hmac-sha1,hmac-sha1-96

Aug 21 20:07:08.772: SSH2 0: SSH2_MSG_KEXINIT sent

Aug 21 20:07:08.915: SSH2 0: SSH2_MSG_KEXINIT received

Aug 21 20:07:08.916: SSH2 0: kex: client->server enc:aes256-ctr mac:hmac-sha1

Aug 21 20:07:08.916: SSH2 0: kex: server->client enc:aes256-ctr mac:hmac-sha1

! Client chooses authentication algorithm

Aug 21 20:07:08.916: SSH2 0: Using hostkey algo = x509v3-ssh-rsa

Aug 21 20:07:08.916: SSH2 0: Using kex_algo = diffie-hellman-group-exchange-sha1

Aug 21 20:07:08.917: SSH2 0: Modulus size established : 4096 bits

Aug 21 20:07:08.976: SSH2 0: expecting SSH2_MSG_KEX_DH_GEX_INIT

Aug 21 20:07:09.141: SSH2 0: SSH2_MSG_KEXDH_INIT received

! Server sends certificate associated with trustpoint "SSH"

Aug 21 20:07:09.208: SSH2 0: Sending Server certificate associated with PKI trustpoint "SSH"

Aug 21 20:07:09.208: CRYPTO_PKI: (A003C) Session started - identity selected (SSH)

Aug 21 20:07:09.208: SSH2 0: Got 2 certificate(s) on certificate chain

Aug 21 20:07:09.208: CRYPTO_PKI: Rcvd request to end PKI session A003C.

Aug 21 20:07:09.208: CRYPTO_PKI: PKI session A003C has ended. Freeing all resources.

Aug 21 20:07:09.209: CRYPTO_PKI: unlocked trustpoint SSH, refcount is 0

Aug 21 20:07:09.276: SSH2: kex_derive_keys complete

Aug 21 20:07:09.276: SSH2 0: SSH2_MSG_NEWKEYS sent

Aug 21 20:07:09.276: SSH2 0: waiting for SSH2_MSG_NEWKEYS

Aug 21 20:07:16.927: SSH2 0: SSH2_MSG_NEWKEYS received

Aug 21 20:07:17.177: SSH2 0: Authentications that can continue = publickey,password,keyboard-interactive

Aug 21 20:07:17.225: SSH2 0: Using method = none

Aug 21 20:07:17.226: SSH2 0: Authentications that can continue = publickey,password,keyboard-interactive

Aug 21 20:07:32.305: SSH2 0: Using method = publickey

! Client sends certificate

Aug 21 20:07:32.305: SSH2 0: Received publickey algo = x509v3-ssh-rsa

Aug 21 20:07:32.305: SSH2 0: Verifying certificate for user 'admin1' in SSH2_MSG_USERAUTH_REQUEST

Aug 21 20:07:32.305: SSH2 0: Verifying certificate for user 'admin1'

Aug 21 20:07:32.306: SSH2 0: Received a chain of 2 certificate

Aug 21 20:07:32.308: SSH2 0: Received 0 ocsp-response

Aug 21 20:07:32.308: SSH2 0: Starting PKI session for certificate verification

Aug 21 20:07:32.308: CRYPTO_PKI: (A003D) Session started - identity not specified

Aug 21 20:07:32.309: CRYPTO_PKI: (A003D) Adding peer certificate

Aug 21 20:07:32.310: CRYPTO_PKI: found UPN as admin1@example.com

Aug 21 20:07:32.310: CRYPTO_PKI: Added x509 peer certificate - (1016) bytes

Aug 21 20:07:32.310: CRYPTO_PKI: (A003D) Adding peer certificate

Aug 21 20:07:32.310: CRYPTO_PKI: Added x509 peer certificate - (879) bytes

Aug 21 20:07:32.311: CRYPTO_PKI: ip-ext-val: IP extension validation not required

Aug 21 20:07:32.311: CRYPTO_PKI: create new ca_req_context type PKI_VERIFY_CHAIN_CONTEXT,ident 31

Aug 21 20:07:32.312: CRYPTO_PKI: (A003D)validation path has 1 certs

Aug 21 20:07:32.312: CRYPTO_PKI: (A003D) Check for identical certs

Aug 21 20:07:32.312: CRYPTO_PKI : (A003D) Validating non-trusted cert

Aug 21 20:07:32.312: CRYPTO_PKI: (A003D) Create a list of suitable trustpoints

Aug 21 20:07:32.312: CRYPTO_PKI: Found a issuer match

Aug 21 20:07:32.312: CRYPTO_PKI: (A003D) Suitable trustpoints are: SSH,

Aug 21 20:07:32.313: CRYPTO_PKI: (A003D) Attempting to validate certificate using SSH policy

Aug 21 20:07:32.313: CRYPTO_PKI: (A003D) Using SSH to validate certificate

Aug 21 20:07:32.313: CRYPTO_PKI: Added 1 certs to trusted chain.

Aug 21 20:07:32.314: CRYPTO_PKI: Prepare session revocation service providers

Aug 21 20:07:32.314: CRYPTO_PKI: Deleting cached key having key id 30

Aug 21 20:07:32.314: CRYPTO_PKI: Attempting to insert the peer's public key into cache

Aug 21 20:07:32.314: CRYPTO_PKI:Peer's public inserted successfully with key id 31

Aug 21 20:07:32.315: CRYPTO_PKI: Expiring peer's cached key with key id 31

Aug 21 20:07:32.315: CRYPTO_PKI: (A003D) Certificate is verified

! Revocation status is checked

Aug 21 20:07:32.315: CRYPTO_PKI: (A003D) Checking certificate revocation

Aug 21 20:07:32.315: OCSP: (A003D) Process OCSP_VALIDATE message

Aug 21 20:07:32.315: CRYPTO_PKI: (A003D)Starting OCSP revocation check

Aug 21 20:07:32.316: CRYPTO_PKI: OCSP server URL is http://10.1.1.2/ocsp

Aug 21 20:07:32.316: CRYPTO_PKI: no responder matching this URL; create one!

Aug 21 20:07:32.316: OCSP: (A003D)OCSP Get Response command

Aug 21 20:07:32.317: CRYPTO_PKI: http connection opened

Aug 21 20:07:32.317: CRYPTO_PKI: OCSP send header size 132

Aug 21 20:07:32.317: CRYPTO_PKI: sending POST /ocsp HTTP/1.0

Host: 10.1.1.2

User-Agent: RSA-Cert-C/2.0

Content-type: application/ocsp-request

Content-length: 312

Aug 21 20:07:32.317: CRYPTO_PKI: OCSP send data size 312

Aug 21 20:07:32.322: OCSP: (A003D)OCSP Parse HTTP Response command

Aug 21 20:07:32.322: OCSP: (A003D)OCSP Validate DER Response command

Aug 21 20:07:32.322: CRYPTO_PKI: OCSP response status - successful.

Aug 21 20:07:32.323: CRYPTO_PKI: Decoding OCSP Response

Aug 21 20:07:32.323: CRYPTO_PKI: OCSP decoded status is GOOD.

Aug 21 20:07:32.323: CRYPTO_PKI: Verifying OCSP Response

Aug 21 20:07:32.325: CRYPTO_PKI: Added 11 certs to trusted chain.

Aug 21 20:07:32.325: ../VIEW_ROOT/cisco.comp/pki_ssl/src/ca/provider/revoke/ocsp/ocsputil.c(547) : E_NOT_FOUND : no matching entry found

Aug 21 20:07:32.325: ../VIEW_ROOT/cisco.comp/pki_ssl/src/ca/provider/revoke/ocsp/ocsputil.c(547) : E_NOT_FOUND : no matching entry found

Aug 21 20:07:32.326: CRYPTO_PKI: (A003D) Validating OCSP responder certificate

Aug 21 20:07:32.327: CRYPTO_PKI: OCSP Responder cert doesn't need rev check

Aug 21 20:07:32.328: CRYPTO_PKI: response signed by a delegated responder

Aug 21 20:07:32.328: CRYPTO_PKI: OCSP Response is verified

Aug 21 20:07:32.328: CRYPTO_PKI: (A003D) OCSP revocation check is complete 0

Aug 21 20:07:32.328: OCSP: destroying OCSP trans element

Aug 21 20:07:32.328: CRYPTO_PKI: Revocation check is complete, 0

Aug 21 20:07:32.328: CRYPTO_PKI: Revocation status = 0

Aug 21 20:07:32.328: CRYPTO_PKI: Remove session revocation service providers

Aug 21 20:07:32.329: CRYPTO_PKI: Remove session revocation service providers

Aug 21 20:07:32.329: CRYPTO_PKI: (A003D) Certificate validated

Aug 21 20:07:32.329: CRYPTO_PKI: Populate AAA auth data

Aug 21 20:07:32.329: CRYPTO_PKI: Selected AAA username: 'admin1'

Aug 21 20:07:32.329: CRYPTO_PKI: Anticipate checking AAA list: 'CERT'

Aug 21 20:07:32.329: CRYPTO_PKI: Checking AAA authorization

Aug 21 20:07:32.329: CRYPTO_PKI_AAA: checking AAA authorization (CERT, admin1, <all>)

Aug 21 20:07:32.329: CRYPTO_PKI_AAA: pre-authorization chain validation status (0x400)

Aug 21 20:07:32.329: CRYPTO_PKI_AAA: post-authorization chain validation status (0x400)

Aug 21 20:07:32.329: CRYPTO_PKI: (A003D)chain cert was anchored to trustpoint SSH, and chain validation result was: CRYPTO_VALID_CERT

Aug 21 20:07:32.329: CRYPTO_PKI: destroying ca_req_context type PKI_VERIFY_CHAIN_CONTEXT,ident 31, ref count 1

Aug 21 20:07:32.330: CRYPTO_PKI: ca_req_context released

Aug 21 20:07:32.330: CRYPTO_PKI: (A003D) Validation TP is SSH

Aug 21 20:07:32.330: CRYPTO_PKI: (A003D) Certificate validation succeeded

Aug 21 20:07:32.330: CRYPTO_PKI: Rcvd request to end PKI session A003D.

Aug 21 20:07:32.330: CRYPTO_PKI: PKI session A003D has ended. Freeing all resources.

Aug 21 20:07:32.395: SSH2 0: Verifying certificate for user 'admin1'

Aug 21 20:07:32.395: SSH2 0: Received a chain of 2 certificate

Aug 21 20:07:32.396: SSH2 0: Received 0 ocsp-response

Aug 21 20:07:32.396: SSH2 0: Starting PKI session for certificate verification

Aug 21 20:07:32.396: CRYPTO_PKI: (A003E) Session started - identity not specified

Aug 21 20:07:32.396: CRYPTO_PKI: (A003E) Adding peer certificate

Aug 21 20:07:32.397: CRYPTO_PKI: found UPN as admin1@example.com

Aug 21 20:07:32.397: CRYPTO_PKI: Added x509 peer certificate - (1016) bytes

Aug 21 20:07:32.397: CRYPTO_PKI: (A003E) Adding peer certificate

Aug 21 20:07:32.398: CRYPTO_PKI: Added x509 peer certificate - (879) bytes

Aug 21 20:07:32.398: CRYPTO_PKI: ip-ext-val: IP extension validation not required

Aug 21 20:07:32.400: CRYPTO_PKI: create new ca_req_context type PKI_VERIFY_CHAIN_CONTEXT,ident 32

Aug 21 20:07:32.400: CRYPTO_PKI: (A003E)validation path has 1 certs

Aug 21 20:07:32.400: CRYPTO_PKI: (A003E) Check for identical certs

Aug 21 20:07:32.400: CRYPTO_PKI : (A003E) Validating non-trusted cert

Aug 21 20:07:32.401: CRYPTO_PKI: (A003E) Create a list of suitable trustpoints

Aug 21 20:07:32.401: CRYPTO_PKI: Found a issuer match

Aug 21 20:07:32.401: CRYPTO_PKI: (A003E) Suitable trustpoints are: SSH,

Aug 21 20:07:32.401: CRYPTO_PKI: (A003E) Attempting to validate certificate using SSH policy

Aug 21 20:07:32.401: CRYPTO_PKI: (A003E) Using SSH to validate certificate

Aug 21 20:07:32.402: CRYPTO_PKI: Added 1 certs to trusted chain.

Aug 21 20:07:32.402: CRYPTO_PKI: Prepare session revocation service providers

Aug 21 20:07:32.402: CRYPTO_PKI: Deleting cached key having key id 31

Aug 21 20:07:32.403: CRYPTO_PKI: Attempting to insert the peer's public key into cache

Aug 21 20:07:32.403: CRYPTO_PKI:Peer's public inserted successfully with key id 32

Aug 21 20:07:32.404: CRYPTO_PKI: Expiring peer's cached key with key id 32

Aug 21 20:07:32.404: CRYPTO_PKI: (A003E) Certificate is verified

Aug 21 20:07:32.404: CRYPTO_PKI: (A003E) Checking certificate revocation

Aug 21 20:07:32.404: OCSP: (A003E) Process OCSP_VALIDATE message

Aug 21 20:07:32.404: CRYPTO_PKI: (A003E)Starting OCSP revocation check

Aug 21 20:07:32.405: CRYPTO_PKI: OCSP server URL is http://10.1.1.2/ocsp

Aug 21 20:07:32.405: CRYPTO_PKI: no responder matching this URL; create one!

Aug 21 20:07:32.405: OCSP: (A003E)OCSP Get Response command

Aug 21 20:07:32.406: CRYPTO_PKI: http connection opened

Aug 21 20:07:32.406: CRYPTO_PKI: OCSP send header size 132

Aug 21 20:07:32.406: CRYPTO_PKI: sending POST /ocsp HTTP/1.0

Host: 10.1.1.2

User-Agent: RSA-Cert-C/2.0

Content-type: application/ocsp-request

Content-length: 312

Aug 21 20:07:32.406: CRYPTO_PKI: OCSP send data size 312

Aug 21 20:07:32.409: OCSP: (A003E)OCSP Parse HTTP Response command

Aug 21 20:07:32.410: OCSP: (A003E)OCSP Validate DER Response command

Aug 21 20:07:32.410: CRYPTO_PKI: OCSP response status - successful.

Aug 21 20:07:32.410: CRYPTO_PKI: Decoding OCSP Response

Aug 21 20:07:32.411: CRYPTO_PKI: OCSP decoded status is GOOD.

Aug 21 20:07:32.411: CRYPTO_PKI: Verifying OCSP Response

Aug 21 20:07:32.413: CRYPTO_PKI: Added 11 certs to trusted chain.

Aug 21 20:07:32.413: ../VIEW_ROOT/cisco.comp/pki_ssl/src/ca/provider/revoke/ocsp/ocsputil.c(547) : E_NOT_FOUND : no matching entry found

Aug 21 20:07:32.413: ../VIEW_ROOT/cisco.comp/pki_ssl/src/ca/provider/revoke/ocsp/ocsputil.c(547) : E_NOT_FOUND : no matching entry found

Aug 21 20:07:32.414: CRYPTO_PKI: (A003E) Validating OCSP responder certificate

Aug 21 20:07:32.415: CRYPTO_PKI: OCSP Responder cert doesn't need rev check

Aug 21 20:07:32.415: CRYPTO_PKI: response signed by a delegated responder

Aug 21 20:07:32.416: CRYPTO_PKI: OCSP Response is verified

Aug 21 20:07:32.416: CRYPTO_PKI: (A003E) OCSP revocation check is complete 0

Aug 21 20:07:32.416: OCSP: destroying OCSP trans element

Aug 21 20:07:32.416: CRYPTO_PKI: Revocation check is complete, 0

Aug 21 20:07:32.416: CRYPTO_PKI: Revocation status = 0

Aug 21 20:07:32.416: CRYPTO_PKI: Remove session revocation service providers

Aug 21 20:07:32.416: CRYPTO_PKI: Remove session revocation service providers

Aug 21 20:07:32.416: CRYPTO_PKI: (A003E) Certificate validated

Aug 21 20:07:32.417: CRYPTO_PKI: Populate AAA auth data

Aug 21 20:07:32.417: CRYPTO_PKI: Selected AAA username: 'admin1'

Aug 21 20:07:32.417: CRYPTO_PKI: Anticipate checking AAA list: 'CERT'

Aug 21 20:07:32.417: CRYPTO_PKI: Checking AAA authorization

Aug 21 20:07:32.417: CRYPTO_PKI_AAA: checking AAA authorization (CERT, admin1, <all>)

Aug 21 20:07:32.417: CRYPTO_PKI_AAA: pre-authorization chain validation status (0x400)

Aug 21 20:07:32.417: CRYPTO_PKI_AAA: post-authorization chain validation status (0x400)

Aug 21 20:07:32.417: CRYPTO_PKI: (A003E)chain cert was anchored to trustpoint SSH, and chain validation result was: CRYPTO_VALID_CERT

Aug 21 20:07:32.417: CRYPTO_PKI: destroying ca_req_context type PKI_VERIFY_CHAIN_CONTEXT,ident 32, ref count 1

Aug 21 20:07:32.417: CRYPTO_PKI: ca_req_context released

Aug 21 20:07:32.417: CRYPTO_PKI: (A003E) Validation TP is SSH

Aug 21 20:07:32.417: CRYPTO_PKI: (A003E) Certificate validation succeeded

Aug 21 20:07:32.418: CRYPTO_PKI: Rcvd request to end PKI session A003E.

Aug 21 20:07:32.418: CRYPTO_PKI: PKI session A003E has ended. Freeing all resources.

Aug 21 20:07:32.418: SSH2 0: Verifying signature for user 'admin1' in SSH2_MSG_USERAUTH_REQUEST

Aug 21 20:07:32.418: SSH2 0: Received a chain of 2 certificate

Aug 21 20:07:32.418: SSH2 0: Received 0 ocsp-response

Aug 21 20:07:32.418: CRYPTO_PKI: found UPN as admin1@example.com

! Certificate status verified successfully

Aug 21 20:07:32.419: SSH2 0: Client Signature verification PASSED

Aug 21 20:07:32.419: SSH2 0: Certificate authentication passed for user 'admin1'

Aug 21 20:07:32.419: SSH2 0: authentication successful for admin1

Aug 21 20:07:32.470: SSH2 0: channel open request

Aug 21 20:07:32.521: SSH2 0: pty-req request

Aug 21 20:07:32.521: SSH2 0: setting TTY - requested: height 25, width 80; set: height 25, width 80

Aug 21 20:07:32.570: SSH2 0: shell request

Aug 21 20:07:32.570: SSH2 0: shell message received

Aug 21 20:07:32.570: SSH2 0: starting shell for vty

Aug 21 20:07:32.631: SSH2 0: channel window adjust message received 8

如果admin1的证书已被吊销：

Aug 21 19:39:52.081: CRYPTO_PKI: OCSP Response is verified

Aug 21 19:39:52.081: CRYPTO_PKI: (A0024) OCSP revocation check is complete 0

Aug 21 19:39:52.082: OCSP: destroying OCSP trans element

Aug 21 19:39:52.082: CRYPTO_PKI: Revocation check is complete, 0

Aug 21 19:39:52.082: CRYPTO_PKI: Revocation status = 1

Aug 21 19:39:52.082: CRYPTO_PKI: Remove session revocation service providers

Aug 21 19:39:52.082: CRYPTO_PKI: Remove session revocation service providers

Aug 21 19:39:52.082: CRYPTO_PKI: (A0024) Certificate revoked

Aug 21 19:39:52.082: %PKI-3-CERTIFICATE_REVOKED: Certificate chain validation has failed. The certificate (SN: 750000001B78DA4CC0078DEC0700000000001B) is revoked

Aug 21 19:39:52.082: CRYPTO_PKI: (A0024)chain cert was anchored to trustpoint Unknown, and chain validation result was: CRYPTO_CERT_REVOKED

Aug 21 19:39:52.082: CRYPTO_PKI: destroying ca_req_context type PKI_VERIFY_CHAIN_CONTEXT,ident 18, ref count 1

Aug 21 19:39:52.082: CRYPTO_PKI: ca_req_context released

Aug 21 19:39:52.083: CRYPTO_PKI: (A0024) Certificate validation failed

相关信息

- PKI配置指南：

https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_conn_pki/configuration/15-mt/sec-pki-15-mt-book.html

- ISE上的TACACS配置示例：

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/200208-Configure-ISE-2-0-IOS-TACACS-Authentic.html

- 技术支持和文档 - Cisco Systems