目錄

簡介

必要條件

需求

採用元件

逐步配置和註冊

示例配置

驗證

疑難排解

簡介

本檔案將說明成功將連線電網作業系統(CGOS)的思科連線電網路由器1000(CGR 1000)註冊到現場網路導向器(FND)作為現場裝置所需的設定步驟。路由器在註冊到FND之前，必須滿足幾個前提條件，包括註冊到公鑰基礎設施(PKI)和自定義配置。除此之外，還將包括經過消毒的示例配置。

作者：Ryan Bowman，思科TAC工程師。

必要條件

需求

思科建議您瞭解以下主題：

- 安裝並運行CG-NMS/FND應用伺服器1.0或更高版本，並且可以使用Web UI訪問。

- 已安裝並運行隧道調配伺服器(TPS)代理伺服器。

- Oracle資料庫伺服器已安裝並正確配置。

- setupCgms.sh成功運行至少一次，並首次成功運行db_migrate。

- DHCPv4和DHCPv6伺服器已經配置並且可用代理設定，這些設定儲存在FND Web使用者介面(UI)的Admin > Provisioning Settings頁面上。

- 裝置.csv檔案應已匯入到FND，且裝置應處於「未聽」狀態。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- FND 3.0.1-36

- 基於軟體的SSM（也是3.0.1-36）

- 應用伺服器中安裝的cgms-tools包(3.0.1-36)

- 所有運行RHEL 6.5的Linux伺服器

- 所有運行Windows Server 2008 R2 Enterprise的Windows伺服器

- CSR 1000v，在VM上作為頭端路由器運行

- CGR-1120/K9用作CG-OS 4(3)的廣域路由器(FAR)

在本文檔建立過程中使用了受控的FND實驗室環境。雖然其他部署會有所不同，但您應該遵守安裝指南中的所有最低要求。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

逐步配置和註冊

1.配置裝置主機名。

2.配置域名。

3.配置DNS伺服器。

4.配置並驗證時間/NTP。

5.開啟蜂窩卡和/或乙太網介面。確保所有必要的介面都有各自的IP，並確保路由器具有最後選用網關。

為了使FND能夠成功設定Loopback 0介面，必須已經使用地址建立該介面。建立Loopback 0介面並檢驗它是否具有IPv4和IPv6地址。您可以使用即插即用IP，因為它們將在隧道調配後被替換。

6.啟用以下功能：ntp、crypto ike、dhcp、tunnel、crypto ipsec virtual-tunnel。

7.建立您的信任點註冊配置檔案(這是RSA證書頒發機構(CA)上簡單證書註冊協定(SCEP)註冊網頁的直接URL。 如果您使用註冊機構，URL將不同):

Router(config)#crypto ca profile enrollment LDevID_Profile

Router(config-enroll-profile)#enrollment url http://networkdeviceenrollmentserver.your.domain.com/CertSrv/mscep/mscep.dll

8.建立信任點並將註冊配置檔案繫結到該信任點。

Router(config)#crypto ca trustpoint LDevID

Router(config-trustpoint)#enrollment profile LDevID_Profile

Router(config-trustpoint)#rsakeypair LDevID_Keypair 2048

Router(config-trustpoint)#revocation-check none

Router(config-trustpoint)#serial-number

Router(config-trustpoint)#fingerprint xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

9.使用SCEP伺服器驗證您的信任點。

Router(config)#crypto ca authenticate LDevID

Trustpoint CA authentication in progress. Please wait for a response...

2017 Mar  8 19:02:00 %$ VDC-1 %$ %CERT_ENROLL-2-CERT_EN_SCEP_CA_AUTHENTICATE_OK: Trustpoint LDevID: CA certificates(s) authenticated.

10.將您的信任點註冊到公共金鑰基礎設施(PKI)。

Router(config)#crypto ca enroll LDevID

Create the certificate request ..

Create a challenge password. You will need to verbally provide this

password to the CA Administrator in order to revoke your certificate.

For security reasons your password will not be saved in the configuration.

Please make a note of it.

Challenge password:

Re-enter challenge password:

The serial number in the certificate will be: PID:CGR1120/K9 SN:JAF############

Certificate enrollment in progress. Please wait for a response...

2017 Mar  8 19:02:24 %$ VDC-1 %$ %CERT_ENROLL-2-CERT_EN_SCEP_ENROLL_OK: Trustpoint LDevID: Device identity certificate successfully enrolled to CA.

11.驗證您的證書鏈。

Router#show crypto ca certificates

12.配置Callhome正常工作所需的SNMP引數。

Router(config)#snmp-server contact NAME

Router(config)#snmp-server user admin network-admin

Router(config)#snmp-server community PUBLIC group network-operator

13.配置這些基本無線個人區域網路(WPAN)模組設定。

Router(config)#interface wpan 4/1

Router(config-if)#no shutdown

Router(config-if)#panid 5

Router(config-if)#ssid meshssid

Router(config-if)#ipv6 add 2001:db8::1/32

14.由於FND依賴通過HTTPS的Netconf來管理FAR，因此啟用並適當配置HTTPS伺服器以偵聽埠8443並驗證與PKI的連線。

Router(config)#ip http secure-server

Router(config)#ip http secure-server trustpoint LDevID

Router(config)#ip http secure-port 8443

15.配置您的Callhome配置檔案。

Router(config)#callhome

Router(config-callhome)#email-contact email@domain.com

Router(config-callhome)#phone-contact +1-555-555-5555

Router(config-callhome)#streedaddress TEXT

Router(config-callhome)#destination-profile nms

Router(config-callhome)#destination-profile nms format netconf

Router(config-callhome)#destination-profile nms transport-method http

Router(config-callhome)#destination-profile nms http https://tpsproxy.your.domain.com:9120

Router(config-callhome)#enable

16.儲存配置。

17.此時，您只需重新載入路由器，但如果您要手動啟動註冊而不進行重新載入，則可以配置cgdm:

Router(config)#cgdm

Router(config-cgdm)#registration start trustpoint LDevID

示例配置

以下是在成功ZTD之前，從CGR1120獲取的經過消毒的配置（在此實驗環境中，Ethernet2/2介面被用作主IPSec隧道源）：

version 5.2(1)CG4(3)

logging level feature-mgr 0

hostname YOUR-HOSTNAME

vdc YOUR-HOSTNAME id 1

limit-resource vlan minimum 16 maximum 4094

limit-resource vrf minimum 2 maximum 4096

limit-resource u4route-mem minimum 9 maximum 9

limit-resource u6route-mem minimum 24 maximum 24

limit-resource m4route-mem minimum 58 maximum 58

limit-resource m6route-mem minimum 8 maximum 8

feature ntp

feature crypto ike

feature dhcp

feature tunnel

feature crypto ipsec virtual-tunnel

username admin password YOURPASSWORD role network-admin

username Administrator password YOURPASSWORD role network-admin

ip domain-lookup

ip domain-name your.domain.com

ip name-server x.x.x.x

crypto key param rsa label LDevID_keypair modulus 2048

crypto key param rsa label YOUR-HOSTNAME.your.domain.com modulus 2048

crypto ca trustpoint LDevID

enrollment profile LDevID_Profile

rsakeypair LDevID_keypair 2048

revocation-check none

serial-number

fingerprint xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

crypto ca profile enrollment LDevID_Profile

enrollment url http://x.x.x.x/CertSrv/mscep/mscep.dll

snmp-server contact NAME

snmp-server user Administrator network-admin

snmp-server community public group network-operator

callhome

email-contact ciscotac@cisco.tac.com

phone-contact +1-555-555-5555

streetaddress Here

destination-profile nms

destination-profile nms format netconf

destination-profile nms transport-method http

destination-profile nms http https://tpsproxy.your.domain.com:9120 trustpoint LDevID

destination-profile nms alert-group all

enable

ntp server x.x.x.x

ntp server x.x.x.x

crypto ike domain ipsec

vrf context management

vlan 1

service dhcp

ip dhcp relay

line tty 1

line tty 2

interface Dialer1

interface Ethernet2/1

interface Ethernet2/2

ip address x.x.x.x/30

no shutdown

interface Ethernet2/3

interface Ethernet2/4

interface Ethernet2/5

interface Ethernet2/6

interface Ethernet2/7

interface Ethernet2/8

interface loopback0

ip address 1.1.1.1/32

ipv6 address 2001:x:x::80/128

interface Serial1/1

interface Serial1/2

interface Wpan4/1

no shutdown

panid 20

ssid austiniot

ipv6 address 2001:db8::1/32

interface Wifi2/1

clock timezone CST -6 0

clock summer-time CST 2 Sun Mar 02:00 1 Sun Nov 02:00 60

line console

line vty

boot kickstart bootflash:/cgr1000-uk9-kickstart.5.2.1.CG4.3.SPA.bin

boot system bootflash:/cgr1000-uk9.5.2.1.CG4.3.SPA.bin

ip route 0.0.0.0/0 x.x.x.x

feature scada-gw

scada-gw protocol t101

scada-gw protocol t104

ip http secure-port 8443

ip http secure-server trustpoint LDevID

ip http secure-server

cgdm

registration start trustpoint LDevID

驗證

目前沒有適用於此組態的驗證程序。

疑難排解

目前尚無適用於此組態的具體疑難排解資訊。