Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Configurar

Diagrama de Rede

Fluxo de rede

Autorização com base em SUDI

Cenários de implantação

Fluxo de rede

Configuração somente com CA

Configuração com CA e RA

Configurações/modelo

Verificar

Troubleshoot

Advertências e problemas conhecidos

ZTD via USB versus arquivos de configuração padrão

Summary

Informações Relacionadas

Introduction

Este documento descreve como a opção ZTD (Zero Touch Deployment, implantação zero-touch) é uma solução econômica e escalável para implantações.

A implantação segura e eficiente e o fornecimento de roteadores de escritórios remotos (às vezes chamados de Spokes) podem ser uma tarefa difícil. Os escritórios remotos podem estar em locais onde é um desafio ter um engenheiro de campo configurando o roteador no local, e a maioria dos engenheiros opta por não enviar roteadores spoke pré-configurados devido ao custo e ao risco potencial à segurança.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Qualquer roteador Cisco IOS® que tenha uma porta USB que suporte unidades flash USB. Para obter detalhes, consulte Suporte a recursos USB eToken e USB Flash.

- Confirmou-se que esse recurso funciona em quase qualquer plataforma Cisco 8xx. Para obter detalhes, consulte o White Paper Default Configuration Files (Recursos de suporte no Cisco 800 Series ISR).

- Outras plataformas que têm portas USB, como Integrated Service Router (ISR) Series G2 e 43xx/44xx.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Simple Certificate Enrollment Protocol (SCEP)

- Implantação automatizada via USB

- DMVPN/FlexVPN/VPNs site a site

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Note: Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Diagrama de Rede

Fluxo de rede

1. No site central (sede da empresa), um modelo da configuração do Spoke é criado. O modelo contém o certificado da autoridade de certificação (CA) que assinou o certificado do roteador do VPN Hub.

2. O modelo de configuração é instanciado em uma chave USB em um arquivo chamado ciscortr.cfg. Esse arquivo de configuração contém a configuração específica de Spoke para o roteador a ser implantado.
Note: A configuração no USB não contém nenhuma informação confidencial além dos endereços IP e do certificado CA. Não há chave privada do Spoke ou do CA Server.

3. A unidade flash USB é enviada para o escritório remoto por correio ou por uma empresa de entrega de pacotes.

4. O roteador Spoke também é enviado para o escritório remoto diretamente do Cisco Manufacturing.

5. No escritório remoto, o roteador está conectado à alimentação e cabeado à rede, conforme explicado nas instruções que estão incluídas com a unidade flash USB. Em seguida, a unidade flash USB é inserida no roteador.
Note: Há pouca ou nenhuma habilidade técnica envolvida nesta etapa, portanto, ela pode ser facilmente executada por qualquer pessoal de escritório.

6. Quando o roteador é inicializado, ele lê a configuração de usbflash0:/ciscortr.cfg. Assim que o roteador é ligado, uma solicitação do Simple Certificate Enrollment Protocol (SCEP) é enviada ao Servidor CA.

7. No CA Server, pode ser configurado Manual ou Automatic Grant com base na política de segurança da empresa. Quando configurado para a concessão manual de certificado, a verificação fora da banda da solicitação SCEP deve ser executada (verificação de validação de endereço IP, validação de credencial para o pessoal que executa a implantação, etc.). Esta etapa pode ser diferente com base no servidor CA usado.

8. Quando a Resposta SCEP é recebida pelo roteador Spoke, que agora tem um certificado válido, a sessão Internet Key Exchange (IKE) é autenticada com o VPN Hub e o túnel é estabelecido com êxito.

Autorização com base em SUDI

A etapa 7 envolve a verificação manual da solicitação de assinatura de certificado enviada por meio do protocolo SCEP, o que pode ser complicado e difícil de executar para pessoal não técnico. Para aumentar a segurança e automatizar o processo, os certificados do dispositivo Secure Unique Device Identification (SUDI) podem ser usados. Os certificados SUDI são certificados incorporados nos dispositivos ISR 4K. Esses certificados são assinados pela CA da Cisco. Cada dispositivo fabricado recebeu um certificado diferente e o número de série do dispositivo está contido no nome comum do certificado. O certificado SUDI, o par de chaves associado e toda a cadeia de certificados são armazenados no chip Trust Anchor resistente a adulteração. Além disso, o par de chaves está vinculado criptograficamente a um chip Trust Anchor específico e a chave privada nunca é exportada. Esse recurso torna a clonagem ou falsificação das informações de identidade praticamente impossível.

A chave privada SUDI pode ser usada para assinar a solicitação SCEP gerada pelo roteador. O servidor de CA pode verificar a assinatura e ler o conteúdo do certificado SUDI do dispositivo. O servidor de CA pode extrair as informações do certificado SUDI (como um número de série) e executar a autorização com base nessas informações. O servidor RADIUS pode ser usado para responder a tal solicitação de autorização.

O administrador cria uma lista dos roteadores spokes e seus números de série associados. Os números de série podem ser lidos do caso do roteador pelo pessoal não técnico. Esses números de série são armazenados no banco de dados do servidor RADIUS e o servidor autoriza as solicitações SCEP com base nessas informações que permitem que o certificado seja concedido automaticamente. Observe que o número de série está vinculado criptograficamente a um dispositivo específico por meio do certificado SUDI assinado pela Cisco, portanto, é impossível forjar.

Em resumo, o servidor de CA é configurado para conceder solicitações automaticamente que atendam a ambos os critérios:

- São assinados com uma chave privada associada a um certificado assinado pela AC SUDI da Cisco

- São autorizados pelo servidor Radius com base nas informações do número de série obtidas do certificado SUDI

Cenários de implantação

O servidor CA pode ser exposto diretamente à Internet, permitindo assim que os clientes executem a inscrição antes que o túnel possa ser criado. O servidor CA pode ser configurado no mesmo roteador que o hub VPN. A vantagem dessa topologia é a simplicidade. A desvantagem é a redução da segurança, pois o servidor CA é exposto diretamente para várias formas de ataque via Internet.

Como alternativa, a topologia pode ser expandida configurando o servidor de Autoridade de Registro. A função de servidor Autoridade de Registro é avaliar e encaminhar solicitações de assinatura de certificado válidas para o servidor de CA. O servidor RA em si não contém a chave privada da CA e não pode gerar certificados por si só. Nessa implantação, o servidor CA não precisa ser exposto à Internet, o que aumenta a segurança geral."

Fluxo de rede

1. O roteador Spoke cria a solicitação SCEP, o assina com a chave privada de seu certificado SUDI e o envia ao servidor CA.

2. Se a solicitação estiver assinada corretamente, a solicitação RADIUS será gerada. O número de série é usado como parâmetro de nome de usuário.

3. O servidor RADIUS aceita ou rejeita a solicitação.

4. Se a solicitação for aceita, o servidor CA concede a solicitação. Se for rejeitado, o servidor da AC responde com o status "Pendente" e o cliente repete a solicitação após a expiração de um temporizador de fallback.

Configuração somente com CA

!CA server

radius server RADSRV

address ipv4 10.10.20.30 auth-port 1812 acct-port 1813

key cisco123

aaa group server radius RADSRV

server name RADSRV

aaa authorization network SUDI group RADSRV

crypto pki server CA

! will grant certificate for requests signed by SUDI certificate automatically

grant auto trustpoint SUDI

issuer-name CN=ca.example.com

hash sha256

lifetime ca-certificate 7200

lifetime certificate 3600

crypto pki trustpoint CA

rsakeypair CA 2048

crypto pki trustpoint SUDI

! Need to import the SUDI CA certificate manually, for example with "crypto pki import" command

enrollment terminal

revocation-check none

! Authorize with Radius server

authorization list SUDI

! SN extracted from cert will be used as username in access-request

authorization username subjectname serialnumber

!CLIENT

crypto pki trustpoint FLEX

enrollment profile PROF

! Serial-number, fqdn and ip-address fields need to be defined, otherwise the interactive prompt will prevent the process from starting automatically

serial-number none

fqdn none

ip-address none

! Password needs to be specified to automate the process. However, it will not be used by CA server

password 7 110A1016141D5A5E57

subject-name CN=spoke.example.com

revocation-check none

rsakeypair FLEX 2048

auto-enroll 85

crypto pki profile enrollment PROF

! CA server address

enrollment url  http://192.0.2.1

enrollment credential CISCO_IDEVID_SUDI

! By pre-importing CA cert you will avoid “crypto pki authenticate” step. If auto-enroll is configured, enrollment will also start automatically

crypto pki certificate chain FLEX

certificate ca 01

30820354 3082023C A0030201 02020101 300D0609 2A864886 F70D0101 04050030

3B310E30 0C060355 040A1305 43697363 6F310C30 0A060355 040B1303 54414331

----- output truncated ----

quit

RADIUS server:

The Radius needs to return Access-Accept with the following Cisco AV Pair to enable certificate enrollment:

pki:cert-application=all

Configuração com CA e RA

!CA server

crypto pki server CATEST

issuer-name CN=CATEST.example.com,OU=TAC,O=Cisco

! will grant the requests coming from RA automatically

grant ra-auto

crypto pki trustpoint CATEST

revocation-check crl

rsakeypair CATEST 2048

!RA server

radius server RADSRV

address ipv4 10.10.20.30 auth-port 1812 acct-port 1813

key cisco123

aaa group server radius RADSRV

server name RADSRV

aaa authorization network SUDI group RADSRV

crypto pki server RA

no database archive

! will forward certificate requests signed by SUDI certificate automatically

grant auto trustpoint SUDI

mode ra

crypto pki trustpoint RA

! CA server address

enrollment url http://10.10.10.10

serial-number none

ip-address none

subject-name CN=ra1.example.com, OU=ioscs RA, OU=TAC, O=Cisco

revocation-check crl

rsakeypair RA 2048

crypto pki trustpoint SUDI

! Need to import the SUDI CA certificate manually, for example with "crypto pki import" command

enrollment terminal

revocation-check none

! Authorize with Radius server

authorization list SUDI

! SN extracted from cert will be used as username in access-request

authorization username subjectname serialnumber

!CLIENT

crypto pki trustpoint FLEX

enrollment profile PROF

! Serial-number, fqdn and ip-address fields need to be defined, otherwise the interactive prompt will prevent the process from starting automatically

serial-number none

fqdn none

ip-address none

! Password needs to be specified to automate the process. However, it will not be used by CA server

password 7 110A1016141D5A5E57

subject-name CN=spoke.example.com

revocation-check none

rsakeypair FLEX 2048

auto-enroll 85

crypto pki profile enrollment PROF

! RA server address

enrollment url  http://192.0.2.1

enrollment credential CISCO_IDEVID_SUDI

! By pre-importing CA cert you will avoid “crypto pki authenticate” step. If auto-enroll is configured, enrollment will also start automatically

crypto pki certificate chain FLEX

certificate ca 01

30820354 3082023C A0030201 02020101 300D0609 2A864886 F70D0101 04050030

3B310E30 0C060355 040A1305 43697363 6F310C30 0A060355 040B1303 54414331

----- output truncated ----

quit

RADIUS server:

The Radius needs to return Access-Accept with the following Cisco AV Pair to enable certificate enrollment:

pki:cert-application=all

Configurações/modelo

Este exemplo de saída mostra uma configuração de Escritório Remoto FlexVPN exemplar que é colocada na unidade flash no arquivo usbflash0:/ciscortr.cfg.

hostname client1

!

interface GigabitEthernet0

ip address dhcp

!

crypto pki trustpoint client1

! CA Server's URL

enrollment url http://10.122.162.242:80

! These fields needs to be filled, to avoid prompt while doing enroll

! This will differ if you use SUDI, please see above

serial-number none

ip-address none

password

subject-name cn=client1.cisco.com ou=cisco ou

!

crypto pki certificate chain client1

certificate ca 01

! CA Certificate here

quit

!

crypto ikev2 profile default

match identity remote any

authentication remote rsa-sig

authentication local rsa-sig

pki trustpoint client1

aaa authorization group cert list default default

!

interface Tunnel1

ip unnumbered GigabitEthernet0

tunnel source GigabitEthernet0

tunnel mode ipsec ipv4

! Destination is Internet IP Address of VPN Hub

tunnel destination 172.16.0.2

tunnel protection ipsec profile default

!

event manager applet import-cert

! Start importing certificates only after 60s after bootup

! Just to give DHCP time to boot up

event timer watchdog time 60

action 1.0 cli command "enable"

action 2.0 cli command "config terminal"

! Enroll spoke's certificate

action 3.0 cli command "crypto pki enroll client1"

! After enrollement request is sent, remove that EEM script

action 4.0 cli command "no event manager applet import-cert"

action 5.0 cli command "exit"

event manager applet write-mem

event syslog pattern "PKI-6-CERTRET"

action 1.0 cli command "enable"

action 2.0 cli command "write memory"

action 3.0 syslog msg "Automatically saved configuration"

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

A ferramenta Output Interpreter (exclusiva para clientes registrados) é compatível com alguns comandos de exibição.. Use a ferramenta Output Interpreter para visualizar uma análise do resultado gerado pelo comando show..

Você pode verificar no Spoke se os túneis subiram:

client1#show crypto session

Crypto session current status

Interface: Tunnel1

Profile: default

Session status: UP-ACTIVE

Peer: 172.16.0.2 port 500

Session ID: 1

IKEv2 SA: local 172.16.0.1/500 remote 172.16.0.2/500 Active

IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0

Active SAs: 2, origin: crypto map

Você também pode verificar no Spoke se o certificado foi registrado corretamente:

client1#show crypto pki certificates

Certificate

Status: Available

Certificate Serial Number (hex): 06

Certificate Usage: General Purpose

Issuer:

cn=CA

Subject:

Name: client1

hostname=client1

cn=client1.cisco.com ou=cisco ou

Validity Date:

start date: 01:34:34 PST Apr 26 2015

end   date: 01:34:34 PST Apr 25 2016

Associated Trustpoints: client1

Storage: nvram:CA#6.cer

CA Certificate

Status: Available

Certificate Serial Number (hex): 01

Certificate Usage: Signature

Issuer:

cn=CA

Subject:

cn=CA

Validity Date:

start date: 01:04:46 PST Apr 26 2015

end   date: 01:04:46 PST Apr 25 2018

Associated Trustpoints: client1

Storage: nvram:CA#1CA.cer

Troubleshoot

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.

Advertências e problemas conhecidos

ID de bug da Cisco CSCuu93989 - O Assistente de configuração interrompe o fluxo de PnP em plataformas G2 pode fazer com que o sistema não carregue a configuração do usbflash:/ciscortr.cfg. Em vez disso, o sistema pode parar no recurso Assistente de configuração:

--- System Configuration Dialog ---

Would you like to enter the initial configuration dialog? [yes/no]:

Note: Certifique-se de usar uma versão que contenha uma correção para esse defeito.

ZTD via USB versus arquivos de configuração padrão

Observe que o recurso Default Configuration Files usado neste documento é um recurso diferente do Zero Touch Deployment via USB descrito em Overview of Cisco 800 Series ISR Deployment.

-

Implantação automatizada via USB

Arquivos de configuração padrão

Plataformas suportadas

Limitado a apenas alguns roteadores 8xx.

Para obter detalhes, consulte Visão geral da implantação do Cisco 800 Series ISR

Todos os ISRs G2, 43xx e 44xx.

Nome de arquivo

*.cfg

ciscortr.cfg

Salva a configuração na flash local

Sim, automaticamente

Não, é necessário o Embedded Event Manager (EEM)

Como mais plataformas são suportadas pelo recurso Default Configuration Files, esta tecnologia foi escolhida para a solução apresentada neste artigo.

Summary

A configuração padrão USB (com o nome de arquivo ciscortr.cfg de uma unidade flash USB) dá aos administradores de rede a capacidade de implantar VPNs de roteador Remote Office Spoke (mas não limitado a apenas VPN) sem a necessidade de fazer login no dispositivo no local remoto.

Informações Relacionadas

- Simple Certificate Enrollment Protocol (SCEP)

- Implantação automatizada via USB

- DMVPN/FlexVPN/VPNs site a site

- Suporte Técnico e Documentação - Cisco Systems

- Tecnologia Anchor da Cisco