Threat Grid裝置與FMC整合的故障排除

下載選項

PDF (5.0 MB)
在多種裝置上使用 Adobe Reader 檢視
ePub (5.1 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (2.9 MB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2021 年 4 月 26 日

文件 ID:217064

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔詳細介紹執行緒網格裝置(TGA)與Firepower管理中心(FMC)的整合。

必要條件

需求

思科建議您瞭解以下主題：

Firepower管理FMC
Threat Grid裝置基本配置
建立授權憑證(CA)
Linux/Unix

採用元件

本文中的資訊係根據以下軟體和硬體版本：

FMC版本6.6.1
Threat Grid 2.12.2
CentOS 8

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

問題

在此用例場景中，您可以看到2個問題和兩個錯誤代碼。

案例 1

整合失敗，但有錯誤：

Sandbox registration failed: Peer certificate cannot be authenticated with given CA certificates (code = 60)

在此問題方面，問題與未以完整鏈結形式上傳到FMC的憑證相關。由於使用了CA簽名的證書，因此需要使用合併到單個PEM檔案中的整個證書鏈。換句話說，您應該從Root CA > Intermediate Cert（如果適用） > Clean Int開始。請參考官方指南中介紹要求和程式的文章。

如果CA有多個簽名鏈，則所有必需的中間證書和根證書必須包含在上傳到FMC的單個檔案中。

所有證書都必須採用PEM編碼。

檔案的新行必須是UNIX，而不是DOS。

如果Threat Grid裝置提供自簽名證書，請上傳您從該裝置下載的證書。

如果Threat Grid裝置顯示CA簽名的證書，請上傳包含證書簽名鏈的檔案。

案例 2

無效的證書格式錯誤

Invalid Certificate format (must be PEM encoded) (code=0)

憑證格式錯誤，如下圖所示。

此錯誤是由於在使用OpenSSL的Windows機器上建立的組合PEM憑證的格式錯誤所致。強烈建議使用Linux電腦建立此證書。

整合

步驟1.配置TGA，如下圖所示。

用於Clean Admin介面的內部CA簽名證書

步驟1.生成用於管理介面和乾淨介面的私鑰。

openssl ecparam -name secp521r1 -genkey -out private-ec-key.pem

步驟2.產生CSR。

清潔介面

步驟1.導航到CSR建立並使用生成的私鑰。

openssl req -new -key private-ec-key.pem -out MYCSR.csr

附註：必須為CSR輸入CN名稱，並且必須與在「Network」下定義的清理介面的主機名匹配。DNS伺服器上必須存在DNS條目，該條目將解析Clean介面主機名。‌

管理員介面

步驟1。導覽至CSR建立並使用產生的私密金鑰。

openssl req -new -key private-ec-key.pem -out MYCSR.csr

附註：必須為CSR輸入CN名稱，並且必須與「Network」下定義的「admin interface」的「hostname」匹配。DNS伺服器上必須存在DNS條目，該條目將解析乾淨介面主機名。‌

步驟2.由CA簽署CSR。下載帶有CER擴展的DER格式的證書。

步驟3.將CER轉換為PEM。

openssl x509 -inform DER -outform PEM -in xxxx.cer -out yyyy.pem

清除將CSR和CER連線到PEM的介面

管理介面CSR和CER到PEM

FMC證書的正確格式

如果您已經獲得證書，並且證書採用CER/CRT格式，在使用文本編輯器時是可讀的，則只需將副檔名更改為PEM即可。

如果證書不可讀，您需要將DER格式轉換為PEM可讀格式。

openssl x509 -inform DER -outform PEM -in xxxx.cer -out yyyy.pem

PEM

PEM可讀格式示例，如圖所示。

DER

DER可讀格式示例，如圖所示

在Windows和Linux中建立的證書之間的差異

您可以在記事本++中使用Compare外掛來將兩個證書並排進行簡單比較，並詳細描述行#68中的編碼差異。在左側，您可以看到在Windows中建立的證書，在右側，您可以看到在Linux電腦上生成的證書。左側的憑證有回車符，因此該憑證PEM對FMC無效。但是，除了記事本頁面中的那一行之外，您無法區分文本編輯器中的++同。