简介

本文档包括有关如何使用证书配置带VPN客户端的Cisco VPN 3000系列集中器的分步说明。

先决条件

要求

本文档没有任何特定的要求。

使用的组件

本文档中的信息基于Cisco VPN 3000集中器软件版本4.0.4A。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

规则

有关文档约定的更多信息，请参考 Cisco 技术提示约定。

VPN 3000 集中器对 VPN 客户端的证书

要为VPN客户端配置VPN 3000集中器证书，请完成以下步骤。

必须将IKE策略配置为在VPN 3000集中器系列管理器上使用证书。要配置IKE策略，请选择Configuration > System > Tunneling Protocols > IPsec > IKE Proposals ，并将CiscoVPNClient-3DES-MD5-RSA移到Active Proposals。
您还必须配置IPsec策略以使用证书。选择Configuration > Policy Management > Traffic Management > Security Associations，突出显示ESP-3DES-MD5，然后点击Modify以配置IPsec策略以配置IPsec策略。
在Modify窗口的Digital Certificates下，确保选择已安装的身份证书。在IKE Proposal下，选择CiscoVPNClient-3DES-MD5-RSA，然后单击Apply。
要配置IPsec组，请选择Configuration > User Management > Groups > Add ，添加名为IPSECCERT (IPSECCERT组名称与身份证书中的组织单位(OU)匹配)的组，然后选择密码。

如果您使用证书，则此密码不在任何位置使用。在本例中，口令为“cisco123”。
在同一页中，单击General选项卡，并确保选择IPsec作为Tunneling Protocol。
单击IPsec选项卡，确保在IPsec SA下选中已配置的IPsec安全关联(SA)，然后单击应用。
要在VPN 3000集中器上配置IPsec组，请选择Configuration > User Management > Users > Add ，指定用户名、密码和组名，然后单击Add。

在示例中，使用以下字段：
- 用户名= cert_user
- 口令 = cisco123
- 验证= cisco123
- 组= IPSECCERT
要在VPN 3000集中器上启用调试，请选择Configuration > System > Events > Classes，然后添加以下类：
- CERT 1-13
- IKE 1-6
- IKEDBG 1-10
- IPSEC 1-6
- IPSECDBG 1-10
选择Monitoring > Filterable Event Log 以查看调试。

注意：如果您决定更改IP地址，则可以注册新IP地址，然后使用这些新地址安装已颁发的证书。