本文档介绍在安全防火墙Firepower威胁防御(FTD)平台上通过自动证书管理环境(ACME)协议注册传输层安全(TLS)证书的过程。
思科建议您了解以下主题:
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始(默认)配置。如果您的网络处于活动状态,请确保您了解所有命令的潜在影响。
安全防火墙FTD上ACME注册的当前必备条件和限制包括:
当降级到不支持ACME注册(版本7.7或更低版本)的安全防火墙FTD版本时:
仍可访问通过ACME注册的证书;但是,在首次保存之后,它们的私钥将取消关联,并在降级之后重新启动。
如果需要降级,请使用建议的解决方法:
ACME协议旨在简化网络管理员的TLS证书管理。通过ACME,管理员可以自动执行获取和更新TLS证书所涉及的任务。当使用证书颁发机构(CA)(如Let's Encrypt)时,这种自动化特别有用,该证书颁发机构通过ACME协议提供免费、自动且可供公众访问的证书。ACME有助于颁发域验证(DV)证书。这些证书验证证书请求者是否对指定域拥有控制权。验证通常通过基于HTTP的质询过程进行,申请人将指定文件放在其Web服务器上。然后,证书颁发机构(CA)通过域的HTTP服务器访问此文件,以确认域控制。成功传递此质询使CA能够颁发DV证书。
注册过程包括以下步骤:

ACME注册HTTP-01身份验证流程。
使用ACME协议在安全防火墙FTD上注册TLS证书的主要优势包括:
这些优势共同提高了安全防火墙FTD部署的运营效率和安全性。
在启动ACME注册流程之前,请确保满足以下条件:
1.导航到对象> PKI >证书注册,然后单击添加证书注册开始配置过程。

2.下拉菜单中列出了ACME enrollment选项以及其他注册方法。从Enrollment Type下拉列表中选择ACME以继续。

3.显示配置证书参数的选项,使用适当信息填写字段。

4.如果您使用的是未知的ACME服务器,则需要添加ACME服务器的CA证书。导航到对象>证书注册,然后单击添加证书注册按钮。



5.导航至“证书参数”(Certificate Parameters),在包括FQDN(Include FQDN)框中选择自定义FQDN(Custom FQDN)选项,并填写自定义FQDN和备用FQDN字段,其中包含主要FQDN和要包含在证书中的任何备用域名。

6.定位至密钥,以修改密钥类型和密钥大小设置。

7.(可选)为身份证书启用Auto Enroll。
选中Auto Enrollment复选框并指定Auto Enroll Lifetime的百分比。
此功能可确保证书在到期之前自动续订。该百分比确定证书到期前续订流程开始的时间。例如,如果设置为80%,则当证书达到其有效期的80%时,续订过程开始。

8.单击保存。
1.导航到Firewall Devices > Certificates,然后单击Add按钮注册新证书。

2.从Device下拉列表中选择FTD设备,以及以前在Cert Enrollment中创建的证书对象。

3.单击Add。
4.部署完成后,状态列将显示ID证书按钮。

5.单击ID按钮验证ID证书信息。

使用命令确认已注册证书。show crypto ca certificates <Trust Point Name>。
firepower# show crypto ca certificatesACME_CERT
Certificate
Status: Available
Certificate Serial Number: 058f993097bd56758e44554194a953be
Certificate Usage: General Purpose
Public Key Type: RSA (2048 bits)
Signature Algorithm: ecdsa-with-SHA256
Issuer Name:
CN=acme Intermediate CA
O=acme
Subject Name:
CN=ftd-example.cisco.com
Validity Date:
start date: 11:20:55 UTC Jul 21 2025
end date: 11:21:55 UTC Jul 22 2025
Storage: immediate
Associated Trustpoints: ACME_CERT
Public Key Hashes:
SHA1 PublicKey hash: 26b7a0f7414364a45b246114478bb74f432520c4
SHA1 PublicKeyInfo hash: 24125d6e8674566c1551784f651975b562c520a
安全防火墙FTD中有新的系统日志,用于捕获使用ACME协议的证书注册相关事件:
%FTD-5-717067: Starting ACME certificate enrollment for the trustpoint <private_acme> with CA <ca-acme.example.com>. Mode <manual>
%FTD-5-717068: ACME Certificate enrollment succeeded for trustpoint <private_acme> with CA <ca-acme.example.com>. Received a new certificate with Subject Name <CN=fj-asav.example.com> Issuer Name <CN=ca-acme Intermediate CA,O=ca-acme> Serial Number <truncated>
%FTD-3-717069: ACME Certificate enrollment failed for trustpoint <private_acme>
%FTD-5-717070: Keypair <Auto.private_acme> in the trustpoint <private_acme> is regenerated for <manual> ACME certificate enrollment
如果ACME证书注册失败,请考虑以下步骤来识别和解决问题:
有关其他信息,请收集下一个debug命令的输出:
| 版本 | 发布日期 | 备注 |
|---|---|---|
1.0 |
06-Apr-2026
|
初始版本 |