CA获得数字证书.PDFVIP

如何使用 ASA 上的 ASDM 从 Microsoft Windows CA 获得数字证书 目录 简介 先决条件 要求 使用的组件 相关产品 规则 配置 ASA 与 Microsoft CA 交换证书 任务 配置 ASA 的说明 结果 验证 检查和管理证书 命令 故障排除 命令 相关信息 简介 数字证书可以用于对网络上的网络设备和用户进行身份验证。可用于协商网络节点之间的 IPSec 会 话。 Cisco 设备以三种主要方式在网络上安全地标识自身： 1. 预共享密钥。两个或更多设备可以拥有相同的共享密钥。对等体通过计算和发送包括预共享密 钥的数据监控哈希互相进行身份验证。如果接收方对等体可以独立地使用其预共享密钥创建相 同的哈希，则它就会了解两个对等体必须共享同一个密钥，从而对另一个对等体进行身份验证 。此方法要手动进行，因此扩展性不高。 2. 自签名证书。设备生成其自己的证书，并将其签名为有效。此类型的证书应限制用途。将此证 书与 SSH 和 HTTPS 访问配合用于配置目的是好例子。形成这种联系需要一个单独的用户名 /口令对。注意： 永久自签名证书在路由器重启后仍存在，因为这些证书保存在设备的非易失 性随机访问存储器 (NVRAM) 中。有关详细信息，请参阅永久自签名证书。一个好的用法示例 是 SSL VPN (WebVPN) 连接。 3. 证书颁发机构证书。第三方对于尝试通信的两个或更多节点验证有效性和身份。每个节点都有 公钥和私钥。公钥将数据加密，而私钥将数据解密。由于这些密钥从相同来源获得其证书，因 此可以确保其各自的身份。ASA 设备可以通过手动注册方法或自动注册方法从第三方获得数 字证书。注意： 您选择数字证书的注册方法和类型取决于每个第三方产品的特性和功能。有 关详细信息，请与证书服务的供应商联系。 思科可适应安全工具(ASA)能使用一第三方Certificate Authority (CA)或数字证书提供的预先共享密 钥验证IPSec连接。此外，ASA 可以生成自己的自签名数字证书。应该用于这SSH、HTTPS和 Cisco Adaptive Security Device Manager (ASDM)连接对设备。 本文展示必要的步骤从微软认证授权(CA)自动地获取数字证书ASA的。其中不包括手动的注册方法 。本文使用ASDM配置步骤，以及呈现最终命令行界面(CLI)配置。 参考的Cisco IOS证书登记使用增强版登记Configuration命令示例为了学习更加大致同样的方案用 Cisco IOS平台。 要详细了解与 Cisco VPN 3000 系列集中器相同的场景，请参阅配置 Cisco VPN 3000 集中器 4.7.x 以获得数字证书和 SSL 证书。 先决条件 要求 尝试进行此配置之前，请确保满足以下要求： ASA 设备的要求 ® 配置Microsoft Windows 2003服务器作为CA。请参阅 Microsoft 文档或 Windows Server 2003 的公钥基础架构 为了允许可适应安全设备管理器或PIX版本7.x将配置的Cisco ASA (ASDM)，参考允许 HTTPS访问ASDM。 安装证书服务的附加项 (mscep.dll)。 从证书服务或mscep.dll文件的简单认证登记协议(SCEP)附加设备得到可执行文件 (cepsetup.exe) 附加设备的从WindowsServer 2003个资源包工具。注意： 在 Microsoft Windows 计算机上配置正确的日期、时间和时区。使用网络时间协议(NTP)是高度推荐，但是 不必要的。 使用的组件 本文档中的信息基于以下软件和硬件版本： 软件版本为 7.x 及更高版本的 Cisco ASA 5500 系列自适应安全设备 Cisco 自适应安全设备管理器版本 5.x 及更高版本 Microsoft Windows 2003 Server 证书颁发机构 相关产品 此配置还可与 Cisco PIX 500 系列安全设备版本 7.x 一起使用。 规则 有关文档规则的详细信息，请参阅 Cisco 技术提示规则。 配置 ASA 与 Microsoft CA 交换证书 任务 此部分中向您展示如何配置 ASA 从 Microsoft 证书颁发机构