用数字证书和MicrosoftCA的ASAPIX8.x和.PDF

用数字证书和Microsoft CA的ASA/PIX 8.x和 VPN客户端IPSec认证使配置示例 目录 简介 先决条件 要求 使用的组件 相关产品 规则 配置 网络图 配置 ASA 配置 ASA 配置概要 VPN 客户端配置 验证 故障排除 相关信息 简介 本文档介绍如何在 Cisco 安全设备 (ASA/PIX) 8.x 和 VPN Client 上手动安装第三方供应商数字证书 ，以利用 Microsoft 证书机构 (CA) 服务器验证 IPSec 对等体。 先决条件 要求 本文档要求您能够访问证书颁发机构 以便进行证书注册。支持的第三方 CA 供应商有 Baltimore、 Cisco、Entrust、iPlanet/Netscape、Microsoft、RSA 和 Verisign。 本文档假设 ASA/PIX 中事先不存在 VPN 配置。 注意： 本文使用一个Microsoft Windows 2003服务器作为CA服务器方案。 注意： 参考配置在Windows服务器的CA 关于如何配置Windows 2003服务器的全部信息作为CA。 使用的组件 本文档中的信息基于以下软件和硬件版本： 运行软件版本 8.0(2) 和 ASDM 版本 6.0(2) 的 ASA 5510 运行软件版本 4.x 及更高版本的 VPN Client 本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原 始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。 相关产品 ASA 配置也可用于运行软件版本 8.x 的 Cisco 500 系列 PIX。 规则 有关文档规则的详细信息，请参阅 Cisco 技术提示规则。 配置 本部分提供有关如何配置本文档所述功能的信息。 注意： 使用命令查找工具 （仅限注册用户 ）可获取有关本部分所使用命令的详细信息。 网络图 本文档使用以下网络设置： 注意： 此配置中使用的 IP 编址方案在 Internet 上不可合法路由。这些地址是在实验室环境中使用 的 RFC 1918 地址。 配置 本文档使用以下配置： ASA 配置 ASA 配置概要 VPN 客户端配置 ASA 配置 要在 ASA 上安装第三方供应商数字证书，请执行下列步骤： 步骤 1. 验证 Date、Time 和 Time Zone 值是否准确 步骤 2. 生成证书签名请求 步骤 3. 验证信任点 步骤 4. 安装证书 步骤 5. 配置远程访问 VPN (IPSec) 以使用新安装的证书 步骤 1. 验证 Date、Time 和 Time Zone 值是否准确 ASDM 步骤 1. 单击 Configuration ，然后单击 Device Setup。 2. 展开 System Time ，然后选择 Clock。 3. 验证列出的信息是否准确。要正确通过证书验证，Date、Time 和 Time Zone 值必须准确。 命令行示例 Ciscoasa CiscoASA#show clock 05:37:37.904 UTC Fri Dec 21 2007 步骤 2. 生成证书签名请求 要让第三方 CA 发放身份证书，需要提供证书签名请求 (CSR)。CSR 包含 ASA 的可分辨名称 (DN) 字符串与 ASA 的已生成公钥。ASA 将使用生成的私钥对 CSR 进行数字签名。 ASDM 步骤 1. 单击 Configuration ，然后单击 Device Management。 2. 展开 Certificate Management ，然后选择 Identity Certificates。 3. 单击 Add 。 4. 单击 Add a new identity certificate 单选按钮。 5. 对于 Key Pair，单击 New。 6. 单击 Enter new key pair name 单选按钮。您必须明确指出密钥对名称以进行识别。 7. 单击 Generate Now。这将立即创建密钥对。 8. 要定义 Certificate Subject DN，请单击 Select ，然后配置下表中列出的属性：要配置这些值 ，可以从 Attribute 下拉列表中选择值或输入值，然后单击 Add 。 注意： 一些第三方供应商在发放身份证书之前要求提供特定属性。如果不确定需要提供什么