Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Conventies

Installeer digitale certificaten op de VPN-centrator.

Installeer SSL-certificaten op de VPN-centrator

Verleng SSL-certificaten op VPN-centrator

Gerelateerde informatie

Inleiding

Dit document bevat stap-voor-stap instructies over de manier waarop u Cisco VPN 3000 Series Concentrators kunt configureren om te authenticeren met het gebruik van digitale of identiteitsbewijzen en SSL-certificaten.

N.B.: In de VPN-centrator moet de taakverdeling worden uitgeschakeld voordat u een ander SSL-certificaat genereert omdat dit verhindert dat een certificaat wordt gegenereerd.

Raadpleeg Hoe u een digitaal certificaat kunt verkrijgen van een Microsoft Windows CA met behulp van ASDM op een ASA om meer te weten te komen over hetzelfde scenario met PIX/ASA 7.x.

Raadpleeg Cisco IOS certificaatinschrijving met behulp van uitgebreide inschrijving Opdrachten Configuration Voorbeeld om meer te weten te komen over hetzelfde scenario met Cisco IOS®-platforms.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op Cisco VPN 3000 Concentrator die versie 4.7 draait.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg de Cisco Technical Tips Convention voor meer informatie over documentconventies.

Installeer digitale certificaten op de VPN-centrator.

Voer de volgende stappen uit:

1. Kies Administratie > certificaatbeheer > Inschrijven om het digitale verzoek of de identiteitsaanvraag te selecteren.

2. Kies Administratie > certificaatbeheer > inschrijving > Identiteitscertificaat en klik op Inschrijven via PKCS10-aanvraag (handmatig).

3. Vul de gevraagde velden in en klik vervolgens op Invoegen.

Deze velden zijn in dit voorbeeld ingevuld.

- Algemene naam: altiga30

- Organisatorische eenheid—IPSECCERT (de OU dient dezelfde naam te hebben als de geconfigureerde IPsec-groepsnaam)

- Organisatie-Cisco systemen

- Localiteit—RTP

- Staat/provincie—NorthCarolina

- Land — VS

- Full Qualified Domain Name— (niet hier gebruikt)

- Sleutelgrootte—512

N.B.: Als u een SSL-certificaat of een identiteitsbewijs wenst met behulp van Simple certificaatinschrijving Protocol (SCEP), zijn dit de enige beschikbare RSA-opties.

- RSA 512 bits

- RSA 768 bits

- RSA 1024 bits

- RSA 2048 bits

- DSA 512 bits

- DSA 768 bits

- DSA 1024 bits

4. Nadat u op Inschrijven klikt, verschijnen er verschillende vensters. Het eerste venster bevestigt dat u een certificaat hebt aangevraagd.

Een nieuw browser venster wordt ook geopend en weergegeven in uw PKCS-aanvraagbestand.

5. Op uw CA-server (Cerfication Authority) markeren u het verzoek en plakken het op uw CA-server om uw verzoek in te dienen. Klik op Volgende.

6. Selecteer Geavanceerd verzoek en klik op Volgende.

7. Selecteer Een certificaataanvraag indienen met behulp van een Base64 gecodeerde PKCS #10-bestand of een hervernieuwingsaanvraag met behulp van een Base64 gecodeerde PKCS #7-bestand en klik vervolgens op Volgende.

8. Snijd en plak uw PKCS-bestand naar het tekstveld onder de sectie Opgeslagen aanvraag. Klik vervolgens op Inzenden.

9. Geef het identiteitsbewijs af op de CA server.

10. Download de wortel en de identiteitsbewijzen. Selecteer op uw CA-server de optie controleren op een hangend certificaat en klik op Volgende.

11. Selecteer Base 64 ingesloten en klik op Download CA certificaat op de CA server.

12. Sla het identiteitsbewijs op het lokale station op.

13. Selecteer op de CA-server de optie CA-certificaat of de lijst voor intrekking van het certificaat ophalen om het basiscertificaat te verkrijgen. Klik op Volgende.

14. Sla het basiscertificaat op het lokale station op.

15. Installeer de wortel- en identiteitsbewijzen op de VPN 3000 Concentrator. Selecteer hiervoor Administratie > certificaatbeheer > Installatie > Installeer het certificaat dat u via inschrijving hebt verkregen. Klik onder Invoerstatus op Installatie.

16. Klik op Upload File vanuit Workstation.

17. Klik op Bladeren en selecteer het broncertificeringsbestand dat u hebt opgeslagen op uw lokale station.

Selecteer Installeer om het identiteitsbewijs in de VPN-Concentrator te installeren. De administratie | Het venster certificaatbeheer verschijnt als bevestiging en uw nieuwe identiteitsbewijs verschijnt in de tabel met identiteitsbewijzen.

N.B.: Voltooi deze stappen om een nieuw certificaat te genereren als het Certificaat niet werkt.

1. Selecteer Beheer > certificaatbeheer.

2. Klik op Verwijderen in het vak Handelingen voor de SSL-certificaatlijst.

3. Selecteer Beheer > Systeem opnieuw opstarten.

4. Selecteer de actieve configuratie opslaan op het moment dat de computer opnieuw wordt opgestart, kies Nu en klik op Toepassen. U kunt nu een nieuw certificaat genereren nadat het opnieuw laden is voltooid.

Installeer SSL-certificaten op de VPN-centrator

Als u een veilige verbinding tussen uw browser en de VPN Concentrator gebruikt, vereist de VPN Concentrator een SSL-certificaat. U hebt ook een SSL certificaat op de interface nodig die u gebruikt om de VPN Concentrator en voor WebVPN te beheren, en voor elke interface die tunnels WebVPN beëindigt.

Als de interface-SSL-certificaten niet aanwezig zijn, worden automatisch gegenereerd wanneer de VPN 3000 Concentrator opnieuw wordt opgestart nadat u de VPN 3000 Concentrator-software hebt bijgewerkt. Omdat een zichzelf ondertekend certificaat zelf gegenereerd is, is dit certificaat niet controleerbaar. Geen enkele certificeringsinstantie heeft haar identiteit gegarandeerd. Maar met dit certificaat kunt u eerste contact maken met de VPN Concentrator via de browser. Als u het wilt vervangen door een ander zelfgetekend SSL-certificaat, voert u de volgende stappen in:

1. Kies Beheer > certificaatbeheer.

2. Klik op Generate om het nieuwe certificaat in de SSL certificaattabel weer te geven en de bestaande te vervangen.

In dit venster kunt u velden voor SSL-certificaten configureren en VPN-centrator automatisch genereren. Deze SSL certificaten zijn voor interfaces en voor het in evenwicht brengen van de lading.

Als u een verifieerbaar SSL-certificaat wilt verkrijgen (dat wil zeggen, een certificaat dat is afgegeven door een certificaatinstantie), zie de Installeer Digitale Certificaten op het gedeelte VPN Concentrator van dit document om de procedure te gebruiken die u gebruikt om identiteitsbewijzen te verkrijgen. Maar deze keer klikt u op SSL-certificaat in het venster Administration > certificaatbeheer > Inschrijven in op SSL-certificaat (in plaats van identiteitsbewijs).

Opmerking: Raadpleeg de administratie | Deel van certificaatbeheer van VPN 3000 Concentrator Referentievolume II: Beheer en bewaking release 4.7 voor volledige informatie over digitale certificaten en SSL-certificaten.

Verleng SSL-certificaten op VPN-centrator

In deze sectie wordt beschreven hoe de SSL-certificaten worden vernieuwd:

Als dit is voor het SSL-certificaat dat door de VPN-Concentrator is gegenereerd, gaat u naar Administratie > certificaatbeheer op de SSL-sectie. Klik op de optie vernieuwen en dat het SSL-certificaat vernieuwt.

Als dit voor een certificaat is dat door een externe CA server wordt verleend, Voltooi de volgende stappen:

1. Kies Administratie > certificaatbeheer > Verwijderen onder SSL-certificaten om de verlopen certificaten van de openbare interface te verwijderen.

Klik op Ja om het wissen van het SSL-certificaat te bevestigen.

2. Kies Beheer > certificaatbeheer > Generate om het nieuwe SSL certificaat te genereren.

Het nieuwe SSL certificaat voor de openbare interface verschijnt.

Gerelateerde informatie

- Ondersteuning van Cisco VPN 3000 Series Concentrator-pagina

- IPsec-onderhandeling/IKE-protocollen

- Technische ondersteuning en documentatie – Cisco Systems