Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Antecedentes

Protocolos de administración

SCP

Configurar

Verificación

TFTP

Configurar

Verificación

FTP

Configurar

Verificación

Protocolos de acceso a la gestión

Acceso regular

SSH

TELNET

HTTP

Acceso persistente

SSH persistente

Telnet persistente

HTTP persistente

Troubleshoot

Clave RSA

Certificado

Información Relacionada

Introducción

Este documento describe el uso de la administración de Virtual Routing and Forwarding Aware (VRF-Aware) en Cisco Aggregation Services Router serie 1000 (ASR1K) con la interfaz de administración (GigabitEthernet0). La información también es aplicable a cualquier otra interfaz en un VRF, a menos que se especifique explícitamente lo contrario. Se describen varios protocolos de acceso tanto para escenarios de conexión a medida como desde el paquete.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Protocolos de administración, como SSH, Telnet y HTTP

- Protocolos de transferencia de archivos, como Secure Copy Protocol (SCP), TFTP y FTP

- VRF

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Cisco IOS® XE versión 3.5S (15.2(1)S) o versiones posteriores de Cisco IOS-XE

Nota: El SCP que reconoce VRF requiere al menos esta versión, mientras que otros protocolos descritos en este documento también funcionan con versiones anteriores.

- ASR1K

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si su red está activa, asegúrese de comprender el impacto potencial de cualquier comando utilizado.

Antecedentes

Interfaz de administración: El propósito de una interfaz de administración es permitir a los usuarios realizar tareas de administración en el router. Se trata básicamente de una interfaz que no debe reenviar el tráfico del plano de datos, y a menudo no puede hacerlo. De lo contrario, se puede utilizar para el acceso remoto al router, a menudo a través de Telnet y Secure Shell (SSH), y para realizar la mayoría de las tareas de administración en el router. La interfaz es más útil antes de que un router comience el ruteo o en situaciones de solución de problemas cuando las interfaces del adaptador de puerto compartido (SPA) están inactivas. En ASR1K, la interfaz de administración se encuentra en un VRF predeterminado denominado Mgmt-intf.

El comando ip <protocol> source-interface se utiliza ampliamente en este documento (donde la palabra clave <protocol> puede ser SSH, FTP, TFTP). Este comando se utiliza para especificar la dirección IP de una interfaz que se utilizará como la dirección de origen cuando ASR sea el dispositivo cliente en una conexión (por ejemplo, la conexión se inicia desde el ASR o desde el tráfico del paquete). Esto también significa que si ASR no es el iniciador de la conexión, el comando ip <protocol> source-interface no es aplicable, y ASR no utiliza esta dirección IP para el tráfico de respuesta; en su lugar, utiliza la dirección IP de la interfaz más cercana al destino. Este comando le permite generar tráfico (para los protocolos soportados) desde una interfaz que reconoce VRF.

Protocolos de administración

Nota: Utilice la Command Lookup Tool (sólo clientes registrados) para obtener más información sobre los comandos utilizados en este artículo.

SCP

Para utilizar el servicio cliente SCP en un ASR desde una interfaz habilitada para VRF, utilice esta configuración.

Configurar

El comando ip ssh source-interface se utiliza para señalar la interfaz de administración al VRF Mgmt-intf para los servicios de cliente SSH y SCP, ya que SCP utiliza SSH. No hay otra opción en el comando copy scp para especificar el VRF. Por lo tanto, debe utilizar este comando ip ssh source-interface. La misma lógica se aplica a cualquier otra interfaz habilitada para VRF.

ASR(config)#ip ssh source-interface GigabitEthernet0

Nota: En la plataforma ASR1k, el SCP que reconoce VRF no funciona hasta la versión XE3.5S (15.2(1)S).

Verificación

Utilice estos comandos para verificar la configuración.

ASR#show vrf

Name                             Default RD          Protocols   Interfaces

Mgmt-intf                        <not set>           ipv4,ipv6   Gi0

ASR#

Para copiar un archivo de ASR a un dispositivo remoto con SCP, ingrese este comando:

ASR#copy running-config scp://guest@10.76.76.160/router.cfg

Address or name of remote host [10.76.76.160]?

Destination username [guest]?

Destination filename [router.cfg]?

Writing router.cfg Password:

!

Sink: C0644 2574 router.cfg

2574 bytes copied in 20.852 secs (123 bytes/sec)

ASR#

Para copiar un archivo desde un dispositivo remoto a ASR con SCP, ingrese este comando:

ASR#copy scp://guest@10.76.76.160/router.cfg bootflash:

Destination filename [router.cfg]?

Password:

Sending file modes: C0644 2574 router.cfg

!

2574 bytes copied in 17.975 secs (143 bytes/sec)

TFTP

Para utilizar el servicio de cliente TFTP en un ASR1k desde una interfaz habilitada para VRF, utilice esta configuración.

Configurar

La opción ip tftp source-interface se utiliza para señalar la interfaz de administración al VRF Mgmt-intf. No hay otra opción en el comando copy tftp para especificar el VRF. Por lo tanto, debe utilizar este comando ip tftp source-interface. La misma lógica se aplica a cualquier otra interfaz habilitada para VRF.

ASR(config)#ip tftp source-interface GigabitEthernet0

Verificación

Utilice estos comandos para verificar la configuración.

ASR#show vrf

Name                             Default RD            Protocols   Interfaces

Mgmt-intf                        <not set>             ipv4,ipv6   Gi0

ASR#

Para copiar un archivo de ASR al servidor TFTP, ingrese este comando:

ASR#copy running-config tftp

Address or name of remote host [10.76.76.160]?

Destination filename [ASRconfig.cfg]?

!!

2658 bytes copied in 0.335 secs (7934 bytes/sec)

ASR#

Para copiar un archivo desde el servidor TFTP a la memoria flash de inicialización ASR, ingrese este comando:

ASR#copy tftp://10.76.76.160/ASRconfig.cfg bootflash:

Destination filename [ASRconfig.cfg]?

Accessing tftp://10.76.76.160/ASRconfig.cfg...

Loading ASRconfig.cfg from 10.76.76.160 (via GigabitEthernet0): !

[OK - 2658 bytes]

2658 bytes copied in 0.064 secs (41531 bytes/sec)

ASR#

FTP

Para utilizar el servicio de cliente FTP en un ASR desde una interfaz habilitada para VRF, utilice esta configuración.

Configurar

La opción ip ftp source-interface se utiliza para señalar la interfaz de administración al VRF Mgmt-intf. No hay otra opción en el comando copy ftp para especificar el VRF. Por lo tanto, debe utilizar el comando ip ftp source-interface. La misma lógica se aplica a cualquier otra interfaz habilitada para VRF.

ASR(config)#ip ftp source-interface GigabitEthernet0

Verificación

Utilice estos comandos para verificar la configuración.

ASR#show vrf

Name                             Default RD            Protocols   Interfaces

Mgmt-intf                        <not set>             ipv4,ipv6   Gi0

Para copiar un archivo de ASR a un servidor FTP, ingrese este comando:

ASR#copy running-config ftp://username:password@10.76.76.160/ASRconfig.cfg

Address or name of remote host [10.76.76.160]?

Destination filename [ASRconfig.cfg]?

Writing ASRconfig.cfg !

2616 bytes copied in 0.576 secs (4542 bytes/sec)

ASR#

Para copiar un archivo del servidor FTP en la memoria flash de inicialización ASR, ingrese este comando:

ASR#copy ftp://username:password@10.76.76.160/ASRconfig.cfg bootflash:

Destination filename [ASRconfig.cfg]?

Accessing ftp://*****:*****@10.76.76.160/ASRconfig.cfg...

Loading ASRconfig.cfg !

[OK - 2616/4096 bytes]

2616 bytes copied in 0.069 secs (37913 bytes/sec)

ASR#

Protocolos de acceso a la gestión

Acceso regular

SSH

Precaución: Un problema común visto con ASR1ks es que el SSH falla debido a la memoria baja. Para obtener más información con respecto a este problema, consulte el artículo de Cisco SSH Authentication Failure Debido a condiciones de memoria baja.

Hay dos opciones usadas para ejecutar el servicio de cliente SSH en el ASR (SSH desde el paquete). Una opción es especificar el nombre VRF en el propio comando ssh, de modo que pueda originar tráfico SSH de un VRF determinado.

ASR#ssh -vrf Mgmt-intf -l cisco 10.76.76.161

Password:

Router>en

Password:

Router#

La otra opción es utilizar la opción ip ssh source-interface para originar tráfico SSH desde una interfaz específica habilitada para VRF.

ASR(config)#ip ssh source-interface GigabitEthernet0

ASR#

ASR#ssh -l cisco 10.76.76.161

Password:

Router>en

Password:

Router#

Para utilizar el servicio de servidor SSH (SSH to-the-box), siga el procedimiento para habilitar SSH en cualquier otro router Cisco IOS. Refiérase a la sección Descripción General de Telnet y SSH para Cisco ASR 1000 Series Routers de la Guía de Configuración de Software de Cisco ASR 1000 Series Aggregation Services Routers para obtener más información.

TELNET

Hay dos opciones usadas para ejecutar el servicio de cliente Telnet en el ASR (Telnet from-the-box). Una opción es especificar la interfaz de origen o el VRF en el propio comando telnet como se muestra aquí:

ASR#telnet 10.76.76.160 /source-interface GigabitEthernet 0 /vrf Mgmt-intf

Trying 10.76.76.160 ... Open

User Access Verification

Username: cisco

Password:

Router>en

Password:

Router#

La otra opción es utilizar el comando ip telnet source-interface. Aún debe especificar el nombre VRF en el siguiente paso con el comando telnet, como se muestra aquí:

ASR(config)#ip telnet source-interface GigabitEthernet0

ASR#

ASR#telnet 10.76.76.160 /vrf Mgmt-intf

Trying 50.50.50.3 ... Open

User Access Verification

Username: cisco

Password:

Router>en

password:

Router#

Para utilizar el servicio de servidor Telnet (Telnet to-the-box), siga el procedimiento para habilitar Telnet en cualquier otro router. Refiérase a la sección Descripción General de Telnet y SSH para Cisco ASR 1000 Series Routers de la Guía de Configuración de Software de Cisco ASR 1000 Series Aggregation Services Routers para obtener más información.

HTTP

La interfaz de usuario web heredada que está disponible para todos los routers también está disponible para ASR1K. Habilite el servicio de cliente o servidor HTTP en el ASR como se muestra en esta sección.

Para habilitar el acceso HTTP antiguo al servicio (servidor) y utilizar el acceso GUI basado en Web, utilice esta configuración que utiliza la autenticación local (también puede utilizar un servidor externo de autenticación, autorización y contabilidad (AAA)).

ASR(config)#ip http

ASR(config)#ip http authentication local

ASR(config)#username <> password <>

Esta es la configuración para habilitar el servidor seguro HTTP (HTTPS):

ASR(config)#ip http secure-server

ASR(config)#ip http authentication local

ASR(config)#username <> password <>

Busque la dirección IP de una interfaz en el ASR e inicie sesión con la cuenta de usuario que creó. Esta es una captura de pantalla:

Para utilizar el servicio de cliente HTTP, ingrese el origen de comando ip http client source-interface <interface name> para el tráfico del cliente HTTP desde una interfaz habilitada para VRF, como se muestra:

ASR(config)#ip http client source-interface GigabitEthernet0

A continuación se muestra un ejemplo que ilustra el uso del servicio de cliente HTTP para copiar una imagen de un servidor HTTP remoto en la memoria flash:

ASR#

ASR#copy http://username:password@10.76.76.160/image.bin flash:

Destination filename [image.bin]?

Accessing http://10.106.72.62/image.bin...

Loading http://10.106.72.62/image.bin

1778218 bytes copied in 20.038 secs (465819 bytes/sec)

ASR#

Acceso persistente

Esta sección sólo se aplica a las conexiones Telnet/SSH/HTTP listas para usar.

Con SSH persistente y Telnet persistente, puede configurar un mapa de transporte que defina el tratamiento del tráfico SSH o Telnet entrante en la interfaz Ethernet de administración. Esto crea la capacidad de acceder al router a través del modo de diagnóstico incluso cuando el proceso de Cisco IOS no está activo. Para obtener más información sobre el modo de diagnóstico, refiérase a la sección Introducción al Modo de Diagnóstico de la Guía de Configuración del Software de Routers de Servicios de Agregación de Cisco ASR 1000 Series.

Nota: SSH persistente o Telnet persistente sólo se puede configurar en la interfaz de administración, GigabitEthernet0.

Nota: En las versiones que no tienen la corrección para el ID de bug de Cisco CSCuj37515, el método de autenticación para el acceso permanente depende del método que se utiliza bajo la línea VTY. El acceso persistente requiere que la autenticación sea local, de modo que el acceso al modo de diagnóstico siga funcionando cuando falla la autenticación externa. Esto significa que cualquier acceso normal de SSH y Telnet también requiere el uso de la autenticación local.

Precaución: En las versiones que no tienen la corrección para el ID de bug Cisco CSCug77654, el uso del método AAA predeterminado restringe la capacidad del usuario para ingresar el mensaje SSH cuando se utiliza SSH persistente. El usuario siempre se ve obligado a ingresar el mensaje de diagnóstico. Para estas versiones, Cisco recomienda que utilice un método de autenticación de nombre o asegúrese de que se habiliten SSH y Telnet normales.

SSH persistente

Cree un mapa de transporte para permitir el SSH persistente como se muestra en la siguiente sección:

Configurar

ASR(config)#crypto key generate rsa label ssh-keys modulus 1024

The name for the keys will be: ssh-keys

% The key modulus size is 1024 bits

% Generating 1024 bit RSA keys, keys will be non-exportable...

[OK] (elapsed time was 1 seconds)

ASR#

ASR(config)#transport-map type persistent ssh

persistent-ssh-map

ASR(config-tmap)#rsa keypair-name ssh-keys

ASR(config-tmap)#transport interface GigabitEthernet0

ASR(config-tmap)#banner wait X

Enter TEXT message.  End with the character 'X'.

--Waiting for vty line--

X

ASR(config-tmap)#

ASR(config-tmap)# banner diagnostic X

Enter TEXT message.  End with the character 'X'.

--Welcome to Diagnostic Mode--

c

ASR(config-tmap)#connection wait allow interruptible

ASR(config-tmap)#exit

ASR(config)#transport type persistent ssh input persistent-ssh

*Jul 10 15:31:57.102: %UICFGEXP-6-SERVER_NOTIFIED_START: R0/0: psd:

Server persistent ssh has been notified to start

Ahora debe habilitar la autenticación local para SSH persistente. Esto puede hacerse con el comando aaa new-model o sin él. Ambos escenarios se describen aquí. (En cualquier caso, asegúrese de tener una cuenta de nombre de usuario/contraseña local en el router).

Puede elegir qué configuración se basa en si tiene AAA habilitado en el ASR.

1. Con AAA habilitado:

ASR(config)#aaa new-model

ASR(config)#aaa authentication login default local

ASR(config)#line vty 0 4

ASR(config-line)#login authentication default

2. Sin AAA habilitado:

ASR(config)#line vty 0 4

ASR(config-line)#login local

Verificación

SSH al ASR con la dirección IP de la interfaz Gigabitethernet0 habilitada para VRF. Una vez ingresada la contraseña, debe ingresar la secuencia de interrupción (Ctrl-C o Ctrl-Shift-6).

management-station$ ssh -l cisco 10.106.47.139

cisco@10.106.47.139's password:

--Waiting for vty line--

--Welcome to Diagnostic Mode--

ASR(diag)#

Nota: Ingrese la secuencia de interrupción (Ctrl-C o Ctrl-Shift-6) cuando —Esperando línea vty— aparezca en el terminal para entrar al modo de diagnóstico.

Telnet persistente

Configurar

Con una lógica similar a la descrita en la sección anterior para SSH, cree un mapa de transporte para Telnet persistente como se muestra aquí:

ASR(config)#transport-map type persistent telnet persistent-telnet

ASR(config-tmap)#banner diagnostic X

Enter TEXT message.  End with the character 'X'.

--Welcome to Diagnostic Mode--

X

ASR(config-tmap)#banner wait X

Enter TEXT message.  End with the character 'X'.

--Waiting for IOS Process--

X

ASR(config-tmap)#connection wait allow interruptible

ASR(config-tmap)#transport interface gigabitEthernet 0

ASR(config-tmap)#exit

ASR(config)#transport type persistent telnet input persistent-telnet

*Jul 10 15:26:56.441: %UICFGEXP-6-SERVER_NOTIFIED_START: R0/0: psd:

Server persistent telnet has been notified to start

Como se discute en la última sección para SSH, hay dos maneras de configurar la autenticación local como se muestra aquí:

1. Con AAA habilitado:

ASR(config)#aaa new-model

ASR(config)#aaa authentication login default local

ASR(config)#line vty 0 4

ASR(config-line)#login authentication default

2. Sin AAA:

ASR(config)#line vty 0 4

ASR(config-line)#login local

Verificación

Telnet a la dirección IP de la interfaz GigabitEthernet0. Después de ingresar las credenciales, introduzca la secuencia de interrupción y espere unos segundos (a veces puede tardar un tiempo) antes de iniciar sesión en el modo de diagnóstico.

Management-station$ telnet 10.106.47.139

Trying 10.106.47.139...

Connected to 10.106.47.139.

Escape character is '^]'.

Username: cisco

Password:

--Waiting for IOS Process--

--Welcome to Diagnostic Mode--

ASR(diag)#

Nota: Ingrese la secuencia de interrupción Ctrl+C o Ctrl+Mayús+6, y espere unos segundos. Cuando —Esperando el proceso del IOS— se muestra en el terminal, puede ingresar al modo de diagnóstico.

HTTP persistente

Para habilitar el acceso HTTP continuo al paquete (HTTP desde el paquete o el servicio cliente HTTP no está disponible) y utilizar el nuevo acceso GUI basado en web, utilice esta configuración que utiliza la autenticación local (también puede utilizar un servidor AAA externo).

Configurar

En estas configuraciones, http-webui y https-webui son los nombres de los mapas de transporte.

ASR(config)#ip http serverASR(config)#ip http authentication local

ASR(config)#username <> password <>

ASR(config)#transport-map type persistent webui http-webui

ASR(config-tmap)#server

ASR(config-tmap)#exit

ASR(config)#transport type persistent webui input http-webui

Esta es la configuración utilizada para habilitar el servidor seguro HTTP (HTTPS).

ASR(config)#ip http secure-serverASR(config)#ip http authentication local

ASR(config)#username <> password <>

ASR(config)#transport-map type persistent webui https-webui

ASR(config-tmap)#secure-server

ASR(config-tmap)#exit

ASR(config)#transport type persistent webui input https-webui

Verificación

Busque la dirección IP de una interfaz en el ASR. Inicie sesión con el nombre de usuario/contraseña que creó para iniciar la página de inicio. Se muestra información relacionada con el estado y la supervisión, junto con una interfaz de usuario WebIOS donde puede aplicar comandos. Esta es una captura de pantalla de la página de inicio:

Troubleshoot

Si WebUI no está disponible a través de HTTPS, verifique que el certificado y la clave Rivest-Shamir-Adleman (RSA) estén presentes y en funcionamiento. Puede utilizar este comando debug para determinar la razón por la que la WebUI no se inicia correctamente:

ASR#debug platform software configuration notify webui

ASR#config t

ASR(config)#no transport type persistent webui input https-webui

%UICFGEXP-6-SERVER_NOTIFIED_STOP: SIP0: psd: Server wui has been notified to stop

ASR(config)#transport type persistent webui input https-webui

CNOTIFY-UI: Setting transport map

CNOTIFY-UI: Transport map https-webui input being processed

CNOTIFY-UI: Processing map association

CNOTIFY-UI: Attempting to send config

CNOTIFY-UI: Preparing to send config

CNOTIFY-UI: server cache: false, tm: false

CNOTIFY-UI: secure-server cache: true, tm: true

CNOTIFY-UI: Validating server config

CNOTIFY-UI: Validating secure server config

CNOTIFY-UI: Checking if secure server config is ok

CNOTIFY-UI: Secure server is enabled in map

CNOTIFY-UI: Getting trust point

CNOTIFY-UI: Getting self-signed trust point

CNOTIFY-UI: Could not get self-signed trustpoint

CNOTIFY-UI: A certificate for does not exist

CNOTIFY-UI: Getting rsa key-pair name

CNOTIFY-UI: Failed to get rsa key pair name

CNOTIFY-UI: Key needed to generate the pem file

CNOTIFY-UI: Secure-server config invalid

CNOTIFY-UI: Config analysis indicates no change

CNOTIFY-UI: Failed to prepare config

Clave RSA

Para verificar la presencia de la clave RSA, ingrese este comando:

ASR#show crypto key mypubkey rsa

% Key pair was generated at: XX:XX:XX XXX XXX XX XXXX

Key name: ASR.ASR

Key type: RSA KEYS

Storage Device: not specified

Usage: General Purpose Key

Key is not exportable. Redundancy enabled.

Key Data&colon;

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXX

% Key pair was generated at: XX:XX:XX XXX XXX XX XXXX

Key name: ASR.ASR.server

Key type: RSA KEYS

Temporary key

Usage: Encryption Key

Key is not exportable. Redundancy enabled.

Key Data&colon;

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX

XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXXXXXX XXXX

ASR#

Tenga en cuenta el nombre de la clave, ya que es necesario para crear el certificado. Si no hay una clave presente, puede crear una con estos comandos:

ASR(config)#ip domain-name Router

ASR(config)#crypto key generate rsa

The name for the keys will be: Router.Router

Choose the size of the key modulus in the range of 360 to 4096 for your

General Purpose Keys. Choosing a key modulus greater than 512 may take

a few minutes.

How many bits in the modulus [512]: 2048

% Generating 2048 bit RSA keys, keys will be non-exportable...

[OK] (elapsed time was 1 seconds)

ASR(config)#

*Dec 22 10:57:11.453: %SSH-5-ENABLED: SSH 1.99 has been enabled

Certificado

Una vez que la clave está presente, puede ingresar este comando para verificar el certificado:

ASR#show crypto pki certificates

ASR Self-Signed Certificate

Status: Available

Certificate Serial Number (hex): 01

Certificate Usage: General Purpose

Issuer:

serialNumber=XXXXXXXXXXX+ipaddress=XXX.XXX.XXX.XXX+hostname=ASR

cn=XXX.XXX.XXX.XXX

c=US

st=NC

l=Raleigh

Subject:

Name: Router

IP Address: XXX.XXX.XXX.XXX

Serial Number: XXXXXXXXXXX

serialNumber=XXXXXXXXXXX+ipaddress=XXX.XXX.XXX.XXX+hostname=aSR

cn=XXX.XXX.XXX.XXX

c=US

st=NC

l=Raleigh

Validity Date:

start date: XX:XX:XX XXX XXX XX XXXX

end   date: XX:XX:XX XXX XXX XX XXXX

Associated Trustpoints: local

Si el certificado no es válido o no está presente, puede crear el certificado con estos comandos:

ASR(config)#crypto pki trustpoint local

ASR(ca-trustpoint)#enrollment selfsigned

ASR(ca-trustpoint)#subject-name CN=XXX.XXX.XXX.XXX; C=US; ST=NC; L=Raleigh

ASR(ca-trustpoint)#rsakeypair ASR.ASR 2048

ASR(ca-trustpoint)#crypto pki enroll local

% Include the router serial number in the subject name? [yes/no]: yes

% Include an IP address in the subject name? [no]: yes

Enter Interface name or IP Address[]: XXX.XXX.XXX.XXX

Generate Self Signed Router Certificate? [yes/no]: yes

Router Self Signed Certificate successfully created

Una vez que la clave y el certificado RSA se actualizan y son válidos, el certificado se puede asociar con la configuración HTTPS:

ASR(config)#ip http secure-trustpoint local

A continuación, puede desactivar y volver a habilitar la interfaz de usuario Web para asegurarse de que funciona:

ASR#conf t

Enter configuration commands, one per line.  End with CNTL/Z.

ASR(config)#no transport type persistent webui input https-webui

ASR(config)#

CNOTIFY-UI: Setting transport map

CNOTIFY-UI: Transport map usage being disabled

CNOTIFY-UI: Processing map association

CNOTIFY-UI: Attempting to send config

CNOTIFY-UI: Preparing to send config

CNOTIFY-UI: Persistent webui will be shutdown if running

CNOTIFY-UI: Creating config message

CNOTIFY-UI: Secure-server state actually being set to: disabled

CNOTIFY-UI: Webui server information: changed: true, status: disabled, port: 80

CNOTIFY-UI: Webui secure server information: changed: true, status: disabled, port: 443

CNOTIFY-UI: Webui service (re)start: false. Sending all config

ASR(config)#

ASR(config)#transport type persistent webui input https-webui

ASR(config)#

CNOTIFY-UI: Setting transport map

CNOTIFY-UI: Transport map https-webui input being processed

CNOTIFY-UI: Processing map association

CNOTIFY-UI: Attempting to send config

CNOTIFY-UI: Preparing to send config

CNOTIFY-UI: server cache: false, tm: false

CNOTIFY-UI: secure-server cache: true, tm: true

CNOTIFY-UI: Validating server config

CNOTIFY-UI: Validating secure server config

CNOTIFY-UI: Checking if secure server config is ok

CNOTIFY-UI: Secure server is enabled in map

CNOTIFY-UI: Getting trust point

CNOTIFY-UI: Using issued certificate for identification

CNOTIFY-UI: Getting rsa key-pair name

CNOTIFY-UI: Getting private key

CNOTIFY-UI: Getting certificate

CNOTIFY-UI: Secure server config is ok

CNOTIFY-UI: Secure-server config is valid

CNOTIFY-UI: Creating config message

CNOTIFY-UI: Secure-server state actually being set to: enabled

CNOTIFY-UI: Adding rsa key pair

CNOTIFY-UI: Getting base64 encoded rsa key

CNOTIFY-UI: Getting rsa key-pair name

CNOTIFY-UI: Getting private key

CNOTIFY-UI: Added rsa key

CNOTIFY-UI: Adding certificate

CNOTIFY-UI: Getting base64 encoded certificate

CNOTIFY-UI: Getting certificate

CNOTIFY-UI: Getting certificate for local

CNOTIFY-UI: Certificate added

CNOTIFY-UI: Webui server information: changed: false, status: disabled, port: 80

CNOTIFY-UI: Webui secure server information: changed: true, status: enabled, port: 443

CNOTIFY-UI: Webui service (re)start: true. Sending all config

%UICFGEXP-6-SERVER_NOTIFIED_START: SIP0: psd:  Server wui has been notified to start

Información Relacionada

- Gestión de puerto de consola, Telnet y SSH

- Introducción al modo de diagnóstico

- Soporte Técnico y Documentación - Cisco Systems