目录

简介

背景信息

先决条件

了解几个相关关键字

要求

配置

第 1 步

生成RSA密钥对

步骤 2

创建CA信任点并将RSA密钥对与信任点关联

步骤 3

步骤 4

生成证书签名请求

NX-OS 8.4(1x)及更低版本

NX-OS 8.4(1)及更高版本。

步骤 5

步骤 6

验证

限制与问题说明

CA和数字证书的最大限制

注意事项

简介

本文档介绍在MDS交换机中配置信任点和证书的配置步骤。

背景信息

公共密钥基础设施(PKI)支持为Cisco多层导向器交换机(MDS)9000系列交换机提供获取和使用数字证书的方法，以便在网络中实现安全通信。PKI支持为IP安全(IPsec)、互联网密钥交换(IKE)和安全外壳(SSH)提供可管理性和可扩展性。

先决条件

如果尚未配置交换机主机名和IP域名，则必须配置它们。

switch# configuration terminal

switch(config)# switchname <switchName>

SwitchName(config)# ip domain-name example.com

注意：生成证书后更改IP主机名或IP域名可能会使证书失效。

了解几个相关关键字

信任点：本地配置的对象，包含有关受信任证书颁发机构(CA)的信息，包括本地RSA密钥对、CA公共证书和CA向交换机颁发的身份证书。  可以配置多个信任点，以注册来自多个CA的交换机身份证书。  信任点中的完整身份信息可以导出到受密码保护的PKCS12标准格式的文件。以后可将其导入同一台交换机（例如，在系统崩溃后）或替换交换机。PKCS12文件中的信息包括RSA密钥对、身份证书和CA证书（或链）。

CA证书(CA Certificate)：这是证书颁发机构(CA)针对其自身颁发的证书。设置中可能有中间或从属CA。  在这种情况下，这也可能指中间或从属CA公共证书。

证书颁发机构(CA)：管理证书请求并向主机、网络设备或用户等实体颁发身份证书的设备。CA为此类实体提供集中密钥管理。

RSA密钥对：在交换机中通过cli生成并与信任点关联。  对于交换机上配置的每个信任点，您必须生成一个唯一的RSA密钥对并将其与信任点关联。

认证签名请求(CSR)这是从交换机生成并发送到CA以签名的请求。CA根据此CSR发回身份证书。

身份证书：这是证书颁发机构为生成CSR的交换机签名和颁发的证书。  将CSR提交到CA后，CA或管理员会通过电子邮件或Web浏览器提供身份证书。  要将身份证书粘贴到MDS信任点，该信任点必须为标准PEM(base64)格式。

要求

根 CA.

子CA证书（如果身份证书由子CA签名）在这种情况下，还需要在交换机中添加子CA的CA证书。

身份证书

配置

第 1 步

生成RSA密钥对

switchName# configure terminal

switchName(config)# crypto key generate rsa label <rsaKeyPairName> exportable modulus xxx

(有效模数值为（默认）512、768、1024、1536、2048和4096)

步骤 2

创建CA信任点并将RSA密钥对与信任点关联

在生成密钥对期间未指定任何密钥时，交换机FQDN用作默认密钥标签。

switchName(config)# crypto ca trustpoint <trustpointName>

switchName(config-trustpoint)# enroll terminal

switchName(config-trustpoint)# rsakeypair <rsaKeyPairName>

步骤 3

对信任点证书颁发机构进行身份验证

如果进行身份验证的CA不是自签名CA，则在CA身份验证步骤中需要输入证书链中所有CA的完整CA证书列表。这称为要进行身份验证的CA的CA证书链。CA证书链中的最大证书数为10。

当只有根CA

switchName# configure terminal

switchName(config)# crypto ca authenticate <trustpointName>

input (cut & paste) CA certificate (chain) in PEM format;

end the input with a line containing only END OF INPUT :

-----BEGIN CERTIFICATE-----

MIIDmjCCAoKgAwIBAgIGAVTGvpxRMA0GCSqGSIb3DQEBCwUAMF0xCzAJBgNVBAYT

AkFVMSUwIwYDVQQKDBxDaXNjbyBTeXN0ZW1zIEluYy4gQXVzdHJhbGlhMRIwEAYD

VQQLDAlDaXNjbyBUQUMxEzARBgNVBAMMCk5pa29sYXkgQ0EwHhcNMTYwNTE5MDIw

MTAxWhcNMjYwNTIwMDIwMTE0WjBdMQswCQYDVQQGEwJBVTElMCMGA1UECgwcQ2lz

Y28gU3lzdGVtcyBJbmMuIEF1c3RyYWxpYTESMBAGA1UECwwJQ2lzY28gVEFDMRMw

EQYDVQQDDApOaWtvbGF5IENBMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKC

AQEAm6onXi3JRfIe2NpQ53CDBCUTn8cHGU67XSyqgL7MlYBhH032QaVrT3b98KcW

55UoqQW15kAnJhNTIQ+f0f8oj9A5UbwcQwIXQuHGkDZvJULjidM37tGF90ZVLJs7

sMxsnVSPIe05w71B9Zuvgh3b7QEdW0DMevNwhuYgaZ0TWrkRR0SoG+6l60DWVzfT

GX0I7MCpLE8JevHZmwfutkQcbVlozcu9sueemvL3v/nEmKP+GlxboR9EqFhXQeyy

/qkhr7Oj/pPHJbvTSuf09VgVRi5c03u7R1Xcc0taNZxSENWovyy/EXkEYjbWaFr7

u+Npt5/6H3XNQKJ0PCSuoOdWPwIDAQABo2AwXjAfBgNVHSMEGDAWgBSE/uqXmcfx

DeH/OVLB6G3ARtAvYzAdBgNVHQ4EFgQUhP7ql5nH8Q3h/zlSwehtwEbQL2MwDgYD

VR0PAQH/BAQDAgGGMAwGA1UdEwQFMAMBAf8wDQYJKoZIhvcNAQELBQADggEBAH9J

a89CFrIUIGGQFg6L2CrYmuOE0bv69UnuodvzG/qEy4GwWUNkUCNu8wNfx3RAgJ8R

KHUbeQY0HjGRaThY8z7Qx8ugA6pDEiwf/BMKPNBPkfhMEGL2Ik02uRThXruA82Wi

OdLY0E3+fx0KULVKS5VvO9Iu5sGXa8t4riDwGWLkfQo2AMLzc+SP4T3udEpG/9BD

nwGOseiz5a/kTAsMircoN2TcqoMBf5LQoA52DJf6MAHd2QZxcnm9ez8igKhzvMG1

OiopI3jTQ38Y9fqCK8E30wUwCozaY3jT0G3F57BfPCfBkkdz1a/Lw7en991xtBcp

0iptGTDJSt7TruaTvDs=

-----END CERTIFICATE-----

END OF INPUT ---> press Enter

当存在内部或下级CA时

证书按如下所示提供：

switchName# configure terminal

switchName(config)# crypto ca authenticate <trustpointName>

Input (cut & paste) CA certificate (chain) in PEM format;

end the input with a line containing only END OF INPUT :

-----BEGIN CERTIFICATE-----

MIIDmjCCAoKgAwIBAgIGAVTGvpxRMA0GCSqGSIb3DQEBCwUAMF0xCzAJBgNVBAYT

AkFVMSUwIwYDVQQKDBxDaXNjbyBTeXN0ZW1zIEluYy4gQXVzdHJhbGlhMRIwEAYD

VQQLDAlDaXNjbyBUQUMxEzARBgNVBAMMCk5pa29sYXkgQ0EwHhcNMTYwNTE5MDIw

MTAxWhcNMjYwNTIwMDIwMTE0WjBdMQswCQYDVQQGEwJBVTElMCMGA1UECgwcQ2lz

Y28gU3lzdGVtcyBJbmMuIEF1c3RyYWxpYTESMBAGA1UECwwJQ2lzY28gVEFDMRMw

EQYDVQQDDApOaWtvbGF5IENBMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKC

AQEAm6onXi3JRfIe2NpQ53CDBCUTn8cHGU67XSyqgL7MlYBhH032QaVrT3b98KcW

55UoqQW15kAnJhNTIQ+f0f8oj9A5UbwcQwIXQuHGkDZvJULjidM37tGF90ZVLJs7

sMxsnVSPIe05w71B9Zuvgh3b7QEdW0DMevNwhuYgaZ0TWrkRR0SoG+6l60DWVzfT

GX0I7MCpLE8JevHZmwfutkQcbVlozcu9sueemvL3v/nEmKP+GlxboR9EqFhXQeyy

/qkhr7Oj/pPHJbvTSuf09VgVRi5c03u7R1Xcc0taNZxSENWovyy/EXkEYjbWaFr7

u+Npt5/6H3XNQKJ0PCSuoOdWPwIDAQABo2AwXjAfBgNVHSMEGDAWgBSE/uqXmcfx

DeH/OVLB6G3ARtAvYzAdBgNVHQ4EFgQUhP7ql5nH8Q3h/zlSwehtwEbQL2MwDgYD

VR0PAQH/BAQDAgGGMAwGA1UdEwQFMAMBAf8wDQYJKoZIhvcNAQELBQADggEBAH9J

a89CFrIUIGGQFg6L2CrYmuOE0bv69UnuodvzG/qEy4GwWUNkUCNu8wNfx3RAgJ8R

KHUbeQY0HjGRaThY8z7Qx8ugA6pDEiwf/BMKPNBPkfhMEGL2Ik02uRThXruA82Wi

OdLY0E3+fx0KULVKS5VvO9Iu5sGXa8t4riDwGWLkfQo2AMLzc+SP4T3udEpG/9BD

nwGOseiz5a/kTAsMircoN2TcqoMBf5LQoA52DJf6MAHd2QZxcnm9ez8igKhzvMG1

OiopI3jTQ38Y9fqCK8E30wUwCozaY3jT0G3F57BfPCfBkkdz1a/Lw7en991xtBcp

0iptGTDJSt7TruaTvDs=

-----END CERTIFICATE-------

-----BEGIN CERTIFICATE-----

MIIC4jCCAoygAwIBAgIQBWDSiay0GZRPSRIljK0ZejANBgkqhkiG9w0BAQUFADCB

kDEgMB4GCSqGSIb3DQEJARYRYW1hbmRrZUBjaXNjby5jb20xCzAJBgNVBAYTAklO

MRIwEAYDVQQIEwlLYXJuYXRha2ExEjAQBgNVBAcTCUJhbmdhbG9yZTEOMAwGA1UE

ChMFQ2lzY28xEzARBgNVBAsTCm5ldHN0b3JhZ2UxEjAQBgNVBAMTCUFwYXJuYSBD

QTAeFw0wNTA1MDMyMjQ2MzdaFw0wNzA1MDMyMjU1MTdaMIGQMSAwHgYJKoZIhvcN

AQkBFhFhbWFuZGtlQGNpc2NvLmNvbTELMAkGA1UEBhMCSU4xEjAQBgNVBAgTCUth

cm5hdGFrYTESMBAGA1UEBxMJQmFuZ2Fsb3JlMQ4wDAYDVQQKEwVDaXNjbzETMBEG

A1UECxMKbmV0c3RvcmFnZTESMBAGA1UEAxMJQXBhcm5hIENBMFwwDQYJKoZIhvcN

AQEBBQADSwAwSAJBAMW/7b3+DXJPANBsIHHzluNccNM87ypyzwuoSNZXOMpeRXXI

OzyBAgiXT2ASFuUOwQ1iDM8rO/41jf8RxvYKvysCAwEAAaOBvzCBvDALBgNVHQ8E

BAMCAcYwDwYDVR0TAQH/BAUwAwEB/zAdBgNVHQ4EFgQUJyjyRoMbrCNMRU2OyRhQ

GgsWbHEwawYDVR0fBGQwYjAuoCygKoYoaHR0cDovL3NzZS0wOC9DZXJ0RW5yb2xs

L0FwYXJuYSUyMENBLmNybDAwoC6gLIYqZmlsZTovL1xcc3NlLTA4XENlcnRFbnJv

bGxcQXBhcm5hJTIwQ0EuY3JsMBAGCSsGAQQBgjcVAQQDAgEAMA0GCSqGSIb3DQEB

BQUAA0EAHv6UQ+8nE399Tww+KaGr0g0NIJaqNgLh0AFcT0rEyuyt/WYGPzksF9Ea

NBG7E0oN66zex0EOEfG1Vs6mXp1//w==

-----END CERTIFICATE-----

END OF INPUT ---> press Enter

蓝色文本 — >从CA证书（在任何文本编辑器中打开）复制此内容，并在交换机CLI中提示时进行粘贴。

Red Color Text ->输入此命令可结束证书。

证书中的任何错误都会导致

failed to load or parse certificate

could not perform CA authentication

如果您尝试从子CA证书进行身份验证，而不添加获得的根CA证书

incomplete chain (no selfsigned or intermediate cert)

could not perform CA authentication

如果一切正常

Fingerprint(s): SHA1 Fingerprint=E1:37:5F:23:FA:82:0C:63:40:9C:AD:C7:7A:83:C9:6A:EA:54:9A:7A

Do you accept this certificate? [yes/no]:yes

步骤 4

生成证书签名请求

NX-OS 8.4(1x)及更低版本

switchName# configure terminal

switchName(config)# crytpo ca enroll <trustpointName>

Create the certificate request..

Create a challenge password. You  need to verbally provide this

password to the CA Administrator in order to revoke your certificate.

For security reasons your password not be saved in the configuration.

Please make a note of it.

Password: abcdef1234 ----- >(Keep a note of this password that you are entering)

The subject name in the certificate be the name of the switch.

Include the switch serial number in the subject name? [yes/no]: no

Include an IP address in the subject name [yes/no]: yes

ip address: 192.168.x.x

The certificate request be displayed...

-----BEGIN CERTIFICATE REQUEST-----

MIIBqzCCARQCAQAwHDEaMBgGA1UEAxMRVmVnYXMtMS5jaXNjby5jb20wgZ8wDQYJ

KoZIhvcNAQEBBQADgY0AMIGJAoGBAL8Y1UAJ2NC7jUJ1DVaSMqNIgJ2kt8rl4lKY

0JC6ManNy4qxk8VeMXZSiLJ4JgTzKWdxbLDkTTysnjuCXGvjb+wj0hEhv/y51T9y

P2NJJ8ornqShrvFZgC7ysN/PyMwKcgzhbVpj+rargZvHtGJ91XTq4WoVkSCzXv8S

VqyH0vEvAgMBAAGgTzAVBgkqhkiG9w0BCQcxCBMGbmJ2MTIzMDYGCSqGSIb3DQEJ

DjEpMCcwJQYDVR0RAQH/BBswGYIRVmVnYXMtMS5jaXNjby5jb22HBKwWH6IwDQYJ

KoZIhvcNAQEEBQADgYEAkT60KER6Qo8nj0sDXZVHSfJZh6K6JtDz3Gkd99GlFWgt

PftrNcWUE/pw6HayfQl2T3ecgNwel2d15133YBF2bktExiI6Ul88nTOjglXMjja8

8a23bNDpNsM8rklwA6hWkrVL8NUZEFJxqbjfngPNTZacJCUS6ZqKCMetbKytUx0=

-----END CERTIFICATE REQUEST-----

质询密码不随配置一起保存。如果证书需要撤销，则需要此密码，因此您必须记住此密码。

注意：请勿使用“$”字符作为密码。  这会导致CSR失败。

从以下位置开始复制

-----BEGIN CERTIFICATE REQUEST-----

直到

-----END CERTIFICATE REQUEST-----

将此项保存在交换机外部。这需要通过邮件或其他方法转发到根CA或子CA（无论哪个标志）。  CA返回签名身份证书。

NX-OS 8.4(1)及更高版本。

作为Cisco Bug ID CSCvo43832的修复程序，在NX-OS 8.4(1)中更改了注册提示。

默认情况下，Subject Name与交换机名称相同。

注册提示还允许使用备用主题名称和多个DN字段。

注意：以数字作为示例的DN字段提示可以接受具有该字符范围的任何字符串。  例如，State DN提示符显示：

输入State[1-128]:

它采用1到128个字符之间的任意字符串。

switchName# configure terminal

switchName(config)# crypto ca enroll <trustpointName>

Create the certificate request ..

Create a challenge password. You need to verbally provide this

password to the CA Administrator in order to revoke your certificate.

For security reasons your password not be saved in the configuration.

Please make a note of it.

Password:abcdef1234

The subject name in the certificate is the name of the switch.

Change default subject name? [yes/no]:yes

Enter Subject Name:customSubjectName

Include the switch serial number in the subject name? [yes/no]:yes

The serial number in the certificate is: XXXXXXXXXXX

Include an IP address in the subject name [yes/no]:yes

ip address:192.168.x.x

Include the Alternate Subject Name ? [yes/no]:yes

Enter Alternate Subject Name:AltName

Include DN fields? [yes/no]:yes

Include Country Name ? [yes/no]:yes

Enter Country Code [XX]:US

Include State ? [yes/no]:yes

Enter State[1-128]:NC

Include Locality ? [yes/no]:yes

Enter Locality[1-128]:RTP

Include the Organization? [yes/no]:yes

Enter Organization[1-64]:TAC

Include Organizational Unit ? [yes/no]:yes

Enter Organizational Unit[1-64]:sanTeam

The certificate request is displayed...

-----BEGIN CERTIFICATE REQUEST-----

MIIDEjCCAfoCAQAwbzELMAkGA1UEBhMCVVMxCzAJBgNVBAgMAk5DMQwwCgYDVQQH

DANSVFAxDDAKBgNVBAoMA1RBQzEQMA4GA1UECwwHc2FuVGVhbTElMCMGA1UEAwwc

RjI0MS0xNS0xMC05MTQ4VC0yLmNpc2NvLmNvbTCCASIwDQYJKoZIhvcNAQEBBQAD

ggEPADCCAQoCggEBAJxGBpaX7j1S5rtLfZhttgvcvDPeXrtFCwOwrSSshPnJfzKN

ZFxzqTtyTSZpTUApfhd2QEDu+rdz+5RB4LF6cP5YNJeiYwQattf65QFfxWffFEuk

BSSvkBwx7y0Bna0fW7rMhDgVF5c9Cj2qNItwkO4Wxx56Guzn/iQGbGQ8Ak3YA/mZ

6lwl4x8Xj15jHwPrg57HB0IJoVFta0SV7DRsCwguq7Vq3CxViQSgdlOn4op699fn

7mENvOFHUfZhPF+YgsUakGeTcJpebu524kg4nZH1eiu9mlrs9VrU0d2qG7Ez+Goi

+GFD0NrauCQSvREpk7dv7l8jMk+tYR6u3ETFYYUCAwEAAaBeMBkGCSqGSIb3DQEJ

BzEMDAphYmNkZWYxMjM0MEEGCSqGSIb3DQEJDjE0MDIwMHYDVR0RAQH/BCYwJIIc

RjI0MS0xNS0xMC05MTQ4VC0yLmNpc2NvLmNvbYcEwKgBCjANBgkqhkiG9w0BAQsF

AAOCAQEAcBrh5xObTI/SOJ7DLm9sf5rfYFaJ0/1BafKqi2Dp3QPLMIa1jydZwz4q

NdNj7Igb4vZPVv/KBrJCibdjEJUn/YiGMST9PFQLys/Qm0fhQmsWcDxDX5xkE+/x

jZ+/8o5W/p6fPV4xT6sGDydjhA5McYr1o3grj0iPWloP+BaDpZgLpIoUHQygk8RB

SJbRR48QKl6pOVwcLPMXWy4w9Yp24hoJ8LI4Ll10D+urpyeEu0IpXywQdOJShQ3S

LWDEgVQSOhFQ+L7c+GGhnrXNXBD37K5hQ2mwrSIqI0FjDQMfzsBDe8bnDqx/HlLa

EP0sjBxo5AxmGon3ZEdlj6ivoyCA/A==

-----END CERTIFICATE REQUEST-----

步骤 5

安装身份证书

注意：可以在交换机上配置的标识证书的最大数量为16。

switch# configure terminal

switch(config)# crypto ca import <trustpointName> certificate

input (cut & paste) certificate in PEM format:

-----BEGIN CERTIFICATE-----

MIIEADCCA6qgAwIBAgIKCjOOoQAAAAAAdDANBgkqhkiG9w0BAQUFADCBkDEgMB4G

CSqGSIb3DQEJARYRYW1hbmRrZUBjaXNjby5jb20xCzAJBgNVBAYTAklOMRIwEAYD

VQQIEwlLYXJuYXRha2ExEjAQBgNVBAcTCUJhbmdhbG9yZTEOMAwGA1UEChMFQ2lz

Y28xEzARBgNVBAsTCm5ldHN0b3JhZ2UxEjAQBgNVBAMTCUFwYXJuYSBDQTAeFw0w

NTExMTIwMzAyNDBaFw0wNjExMTIwMzEyNDBaMBwxGjAYBgNVBAMTEVZlZ2FzLTEu

Y2lzY28uY29tMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC/GNVACdjQu41C

dQ1WkjKjSICdpLfK5eJSmNCQujGpzcuKsZPFXjF2UoiyeCYE8ylncWyw5E08rJ47

glxr42/sI9IRIb/8udU/cj9jSSfKK56koa7xWYAu8rDfz8jMCnIM4W1aY/q2q4Gb

x7RifdV06uFqFZEgs17/Elash9LxLwIDAQABo4ICEzCCAg8wJQYDVR0RAQH/BBsw

GYIRVmVnYXMtMS5jaXNjby5jb22HBKwWH6IwHQYDVR0OBBYEFKCLi+2sspWEfgrR

bhWmlVyo9jngMIHMBgNVHSMEgcQwgcGAFCco8kaDG6wjTEVNjskYUBoLFmxxoYGW

pIGTMIGQMSAwHgYJKoZIhvcNAQkBFhFhbWFuZGtlQGNpc2NvLmNvbTELMAkGA1UE

BhMCSU4xEjAQBgNVBAgTCUthcm5hdGFrYTESMBAGA1UEBxMJQmFuZ2Fsb3JlMQ4w

DAYDVQQKEwVDaXNjbzETMBEGA1UECxMKbmV0c3RvcmFnZTESMBAGA1UEAxMJQXBh

cm5hIENBghAFYNKJrLQZlE9JEiWMrRl6MGsGA1UdHwRkMGIwLqAsoCqGKGh0dHA6

Ly9zc2UtMDgvQ2VydEVucm9sbC9BcGFybmElMjBDQS5jcmwwMKAuoCyGKmZpbGU6

Ly9cXHNzZS0wOFxDZXJ0RW5yb2xsXEFwYXJuYSUyMENBLmNybDCBigYIKwYBBQUH

AQEEfjB8MDsGCCsGAQUFBzAChi9odHRwOi8vc3NlLTA4L0NlcnRFbnJvbGwvc3Nl

LTA4X0FwYXJuYSUyMENBLmNydDA9BggrBgEFBQcwAoYxZmlsZTovL1xcc3NlLTA4

XENlcnRFbnJvbGxcc3NlLTA4X0FwYXJuYSUyMENBLmNydDANBgkqhkiG9w0BAQUF

AANBADbGBGsbe7GNLh9xeOTWBNbm24U69ZSuDDcOcUZUUTgrpnTqVpPyejtsyflw

E36cIZu4WsExREqxbTk8ycx7V5o=

-----END CERTIFICATE-----

步骤 6

保存配置

switch# copy running-config startup-config

验证

switchName# show crypto ca certificates

Trustpoint: <trustpointName>

certificate: ---> Identity Certificate

subject= /CN=CP-SAND-MDS-A.example.com

issuer= /C=GB/O=England/CN=Utility CA1

serial=16D34BA800004441C69D

notBefore=Nov 15 08:11:47 2021 GMT

notAfter=Nov 14 08:11:47 2023 GMT

SHA1 Fingerprint=03:E0:73:FE:31:C5:4A:84:C0:77:21:0F:3A:A0:05:29:55:FF:9B:7E

purposes: sslserver sslclient ike

CA certificate 0: ---> CA Certificate of Sub CA

subject= /C=GB/O=England/CN=Eng Utility CA1

issuer= /C=GB/O= England/CN=EngRoot CA

serial=616F2990AB000078776000002

notBefore=Aug 14 11:22:48 2012 GMT

notAfter=Aug 14 11:32:48 2022 GMT

SHA1 Fingerprint=DF:41:1D:E7:B7:AD:6F:3G:05:F4:E9:99:B2:9F:9C:80:73:83:1D:B4

purposes: sslserver sslclient ike

CA certificate 1: ---> CA Certificate of Root CA

subject= /C=GB/O=England/CN=Eng Root CA

issuer= /C=GB/O=Bank of England/CN=Eng Root CA

serial=435218BABA57D57774BFA7A37A4E54D52

notBefore=Aug 14 10:08:30 2012 GMT

notAfter=Aug 14 10:18:09 2032 GMT

SHA1 Fingerprint=E3:F9:85:AC:1F:66:22:7C:G5:36:2D:89:5A:B4:3C:06:0E:2A:DB:13

purposes: sslserver sslclient ike

switchName# show crypto key mypubkey rsa

key label: <rsaKeyPairName>

key size: 2048

exportable: yes

key-pair already generated

switchName# show crypto ca crl <trustpointName>

Trustpoint: <trustpointName>

==================================================================================================

限制与问题说明

CA和数字证书的最大限制

功能

最大限制

在交换机上声明的信任点

16

交换机上生成的RSA密钥对

16

RSA密钥对大小

4096 位

交换机上配置的身份证书

16

CA证书链中的证书

10

向特定CA进行身份验证的信任点

10

默认设置

参数

默认

信任点

无

RSA密钥对

无

RSA密钥对标签

交换机FQDN

RSA密钥对模数

512

RSA密钥对可导出

Yes

信任点的撤销检查方法

CRL

注意事项

Cisco Bug ID CSCvo43832 - MDS 9000证书签名请求(CSR)不包括所有可分辨名称(DN)字段

Cisco bug ID CSCvt46531 — 需要记录PKI“trustpool”命令

Cisco Bug ID CSCwa77156 - Cisco MDS 9000系列安全配置指南，版本8.x需要更新密码字符

Cisco Bug ID CSCwa54084 — “Subject Alternate Name”在NX-OS生成的CSR中不正确