目錄

簡介

必要條件

需求

採用元件

背景資訊

設定

NDES伺服器證書配置

NDES伺服器IIS繫結配置

ISE伺服器配置

驗證

疑難排解

相關資訊

簡介

本文檔介紹配置安全證書註冊協定(SCEP)與身份服務引擎(ISE)整合的超文本傳輸協定安全(HTTPS)支援所需的步驟。

必要條件

需求

思科建議您瞭解以下主題：

- Microsoft Internet Information Services(IIS)Web伺服器的基礎知識

- 在ISE上配置SCEP和證書的經驗

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- ISE版本1.1.x

- 安裝了Windows Server 2008 R2企業版KB 2483564和 KB 2633200的修補程式 。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

與Microsoft證書服務相關的資訊是專門為思科自帶裝置(BYOD)提供的指南。 請參閱Microsoft的TechNet作為Microsoft證書頒發機構、網路裝置註冊服務(NDES)和SCEP相關伺服器配置的最終資料來源。

背景資訊

在BYOD部署中，核心元件之一是安裝了NDES角色的Microsoft 2008 R2 Enterprise伺服器。  此伺服器是Active Directory(AD)林的成員。  在NDES的初始安裝過程中，Microsoft的IIS Web伺服器會自動安裝並配置為支援SCEP的HTTP終止。  在一些BYOD部署中，客戶可能希望使用HTTPS進一步保護ISE和NDES之間的通訊。  此程式詳細介紹為SCEP網站請求和安裝安全套接字層(SSL)證書所需的步驟。

設定

NDES伺服器證書配置

附註：  您必須為IIS配置新證書(僅當IIS與第三方PKI（如Verisign）整合時，或者當證書頒發機構(CA)和NDES伺服器角色分離到單獨的伺服器上時需要)。 在安裝中，如果NDES角色位於當前的Microsoft CA伺服器上，則IIS使用在CA設定期間建立的伺服器身份證書。  對於此類獨立配置，直接跳至本文檔中的NDES Server IIS Binding Configuration部分。

1. 通過控制檯或RDP連線到NDES伺服器。

2. 按一下開始 — >管理工具 — > Internet資訊服務(IIS)管理器。

3. 選中IIS伺服器名稱，然後按一下Server Certificates圖示。

4. 按一下Create Certificate Request，然後填寫欄位。

5. 使用文本編輯器開啟上一步中建立的.cer檔案，並將內容複製到剪貼簿。

6. 訪問Microsoft CA Web Enrollment網站，然後按一下Request a Certificate。
示例URL:http://yourCAIP/certsrv

7. 按一下Submit a certificate request by using....從剪貼簿貼上證書內容，然後選擇Web Server模板。

8. 按一下「Submit」，然後將憑證檔案儲存到案頭上。

9. 返回NDES伺服器並開啟IIS管理器實用程式。按一下伺服器名稱，然後按一下Complete Certificate Request以匯入新建立的伺服器證書。

NDES伺服器IIS繫結配置

1. 展開伺服器名稱，展開Sites，然後按一下Default Web Site。

2. 按一下右上角的Bindings。

3. 按一下Add，將Typeto HTTPS變更為，然後從下拉式清單中選擇憑證。

4. 按一下「OK」（確定）。

ISE伺服器配置

1. 連線到CA伺服器的Web註冊介面並下載CA證書鏈。

2. 從ISE GUI導航到管理 — >證書 — >證書儲存，然後將CA證書鏈匯入ISE儲存。

3. 導覽至Administration -> Certificates -> SCEP CA Profiles，然後為HTTPS設定URL。按一下Test Connectivity，然後按一下Save。

驗證

使用本節內容，確認您的組態是否正常運作。

- 導覽至Administration -> Certificates -> Certificate Store，然後確認CA憑證鏈結和NDES伺服器註冊授權單位(RA)憑證是否存在。

- 使用Wireshark或TCP轉儲來監控ISE管理節點和NDES伺服器之間的初始SSL交換。

輸出直譯器工具(僅供已註冊客戶使用)支援某些show命令。使用輸出直譯器工具來檢視show命令輸出的分析。

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

- 將BYOD網路拓撲分解為邏輯路徑點，以幫助識別這些終端之間的路徑上的調試和捕獲點 — ISE、NDES和CA。

- 確保ISE和NDES伺服器之間雙向允許TCP 443。

- 監視CA和NDES伺服器應用程式日誌中的註冊錯誤，並使用Google或TechNet研究這些錯誤。

- 使用ISE PSN上的TCP轉儲實用程式監控進出該NDES伺服器的流量。位於Operations > Diagnostic Tools > General Tools下。

- 在NDES伺服器上安裝Wireshark或在中間交換機上使用SPAN，以便捕獲來往於ISE PSN的SCEP流量。

輸出直譯器工具(僅供已註冊客戶使用)支援某些show命令。使用輸出直譯器工具來檢視show命令輸出的分析。

附註：使用 debug 指令之前，請先參閱有關 Debug 指令的重要資訊。

相關資訊

- 為BYOD配置SCEP支援

- 技術支援與文件 - Cisco Systems