Como criar uma solicitação de assinatura de certificado no

Como criar uma solicitação de assinatura de certificado no CSS
SCA
Índice
Introdução
Componentes Utilizados
Antes de Começar
Criando uma solicitação de assinatura de certificado por meio de Telnet no SCA
Instruções passo a passo
Troubleshooting
Informações Relacionadas
Introdução
Este documento descreve como criar uma solicitação de assinatura de certificado (CSR) no acelerador de conteúdo seguro do interruptor do Cisco
Content Services (CSS SCA) através do telnet.
Componentes Utilizados
SCA que executa o código de 3.1.0.27 ou mais altamente
Telnet
Certificate Authority
Antes de Começar
Certifique-se de você conhecer o nome de domínio totalmente qualificado usado para seu server ou endereço VIP. O uso dos clientes do Domain
Name conectar a seu local deve combinar o Domain Name em seu certificado.
Criando uma solicitação de assinatura de certificado por meio de Telnet no SCA
O SCA usa o OpenSSL para criar os pedidos do certificado e as chaves privadas. O OpenSSL uma aplicação indústria-aceitada, e é usado em
muitos outros dispositivos SSL, incluindo servidores da Web Apache. Para obter mais informações sobre do OpenSSL, refira o projeto openSSL.
É backup muito importante seus certificado e chaves privadas. O certificado é inútil sem a chave privada. Na primeira etapa você será mostrado
como criar uma chave privada no SCA e tê-la exportada para tftp um server. No segundo passo, você será mostrado como criar uma solicitação
de assinatura de certificado (CSR) que usa a chave privada que você apenas criou. Finalmente, você será mostrado como importar o certificado
seu Certificate Authority (CA) criado, com base em sua solicitação de assinatura de certificado. Você deve igualmente salvar o certificado que
você recebe do Certificate Authority.
Instruções passo a passo
Passo 1
A primeira etapa é criar a chave privada. Para efeitos de segurança, certifique-se de você cifrar a chave privada com uma frase de passagem.
Você será pedido para entrar em uma frase de passagem, e para verificar então a frase de passagem datilografando a dentro outra vez.
Este exemplo cria uma chave privada de 1024 bit, DES cifrada usando uma frase de passagem, e escreve a chave a um servidor TFTP com
endereço IP 10.1.1.101.
configuração do sslone#
([sslone] da configuração) # SSL
([sslone] do config-ssl) # o new_key da chave cria
o [new_key] da configuração-SSL-chave) # os bit 1024 do genrsa cifra a saída tftp://10.1.1.101/new_key DES
Incorpore a frase de acesso PEM para a criptografia chave:
Verificando a senha - Incorpore a frase PEM para a criptografia chave:
-----COMECE A CHAVE PRIVADA RSA----Proc-tipo: 4,ENCRYPTED
DEK-informação: DES-CBC,0FAFA1822C899B45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-----CHAVE PRIVADA DA EXTREMIDADE RSA----Escrevendo a chave RSA a: tftp://10.1.1.101/new_key
Enviado 958 bytes em 0.2 bit dos segundos [38320/segundo]
([new_key] da configuração-SSL-chave) #
A chave privada sempre será indicada e armazenada localmente em cima da criação bem-sucedida, mesmo se não poderia ser copiada ao servidor
TFTP.
Passo 2
Crie o CSR. Emita a chave do gencsr do comando (especifique a chave privada que você apenas criou). Você será alertado incorporar esta
informação:
País
Estado ou província
Localidade
Organização
Nome
Nome da unidade organizacional
Nome de domínio
Endereço email
([sslone] do config-ssl) # new_key chave do gencsr
A informação seguinte será incorporada em seu CSR (certificado
requisição de assinatura): País, estado ou província, localidade, organização
Nome, nome da unidade organizacional, Domain Name, e endereço email).
Incorpore a abreviação ISO de duas letras para seu país (por exemplo, E.U.
para o Estados Unidos):
Exemplo: US
[]do país do =>: US
Dê entrada com o nome do estado ou da província onde a cabeça da sua organização
o escritório é situado. Dê entrada com por favor o nome completo (não abrevie).
Exemplo: Califórnia
[]do estado ou da província do =>: Massachusetts
Dê entrada com o nome da cidade onde a sede da sua organização está
localizado.
Exemplo: San Jose
[]da localidade do =>: Boxborough
Dê entrada com o nome da organização que possui o Domain Name.
nome de organização (corporaçõ, parceria limitada, universidade, ou
a agência do governo) deve ser registrada com alguma autoridade no nacional,
estado, ou nível da cidade. Use o nome legal sob que sua organização está
registrado. Por favor não abrevie seu nome de organização e NÃO FAÇA
use alguns dos seguintes caráteres:
> ~! @ # ^ $ */\ ()?.
Exemplo: Example Corporation
[]do nome de organização do =>: Cisco Systems
Dê entrada com o nome do departamento ou do grupo que usarão o certificado.
Exemplo: Departamento TI
[]do nome da unidade organizacional do =>: Suporte
Incorpore o “nome de domínio totalmente qualificado” (ou o FQDN) usado para pesquisas de DNS
de seu server (por exemplo: www.example.com). Os navegadores usam este
informação para identificar seu site. Alguns navegadores recusarão a
estabeleça uma conexão segura com seu local se o nome do servidor não faz
combine o Domain Name no certificado. Por favor não inclua
especificador de protocolo “http://” ou alguns números de porta ou nomes de caminho. Não faça
use caracteres wildcard como * ou? , e não use um endereço IP de Um ou Mais Servidores Cisco ICM NT.
Exemplo: www.example.com
[]do Domain Name/Common Name do =>: www.yourdomain.com
Incorpore o endereço email do responsável do administrador para
certificado.
Exemplo: [email protected]
[]do endereço email do =>: [email protected]
Sumário de sua solicitação de assinatura de certificado:
País: US
Estado ou província: Massachusetts
Localidade: Boxborough
Nome de organização: Cisco
Nome da unidade organizacional: Suporte
Domain Name: www.yourdomain.com
Endereço email: [email protected]
Está a informação acima correta? (y/n): y
Seu CSR é indicado abaixo.
Para submeter o CSR a uma autoridade de certificação (CA), como Verisign, cortou e
cole o seguinte no campo fornecido no pedido em linha de CA
forme. Recorde incluir as etiquetas do começo e do término,
-----COMECE O PEDIDO DO CERTIFICADO-----” e
-----PEDIDO DO CERTIFICADO DO FIM-----”
-----COMECE O PEDIDO DO CERTIFICADO----MIIB3zCCAUgCAQAwgZ4xCzAJBgNVBAYTAlVTMRYwFAYDVQQIEw1NYXNzYWNodXNl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-----PEDIDO DO CERTIFICADO DO FIM----Você gostaria de salvar o pedido do certificado a uma URL? (y/n): n
Você gostaria ao auto assina este certificado? (y/n): n
([sslone] do config-ssl) #
A cópia e cola a seção em negrito e fornece esta ao Certificate Authority (CA) de sua escolha. Fornecê-lo-ão o certificado resultante. A maioria
de autoridades de certificação permitirão que você peça um certificado de teste.
Etapa 3
Uma vez que o certificado foi recebido, você pode usar a característica da pasta do Privacy Enhanced Mail (PEM) para transferir arquivos pela
rede o certificado ao SCA.
o [sslone] do config-ssl) # new_cert CERT cria
([new_cert] configuração-SSL-CERT) # PEM-pasta
Cole dados, a seguir pressione-os entram até retornos de prompt
-----COMECE O CERTIFICADO----MIICYDCCAgoCEAvjXPTFkpcaO3WR0Yy/zFswDQYJKoZIhvcNAQEEBQAwgakxFjAU
BgNVBAoTDVZlcmlTaWduLCBJbmMxRzBFBgNVBAsTPnd3dy52ZXJpc2lnbi5jb20v
cmVwb3NpdG9yeS9UZXN0Q1BTIEluY29ycC4gQnkgUmVmLiBMaWFiLiBMVEQuMUYw
RAYDVQQLEz1Gb3IgVmVyaVNpZ24gYXV0aG9yaXplZCB0ZXN0aW5nIG9ubHkuIE5v
IGFzc3VyYW5jZXMgKEMpVlMxOTk3MB4XDTAyMDQwMTAwMDAwMFoXDTAyMDQxNTIz
NTk1OVoweTELMAkGA1UEBhMCVVMxFjAUBgNVBAgTDU1hc3NhY2h1c2V0dHMxEzAR
BgNVBAcUCkJveGJvcm91Z2gxDjAMBgNVBAoUBUNpc2NvMRAwDgYDVQQLFAdTdXBw
b3J0MRswGQYDVQQDFBJ3d3cueW91cmRvbWFpbi5jb20wgZ8wDQYJKoZIhvcNAQEB
BQADgY0AMIGJAoGBAL+S1Ef36dVwR4+gOk+1uXMlt+/eSrnb/H3950gMa23DAOZ5
Fj1HyLi01If4Q5ZYMVw3NXUDUJUBQn0PQiDbMMrjs2WSmzFcHS72nHw5xzvUp2P5
6f/GNlsrbWc/W7rV82alKzMGuKIE47LmEpy1zH9phk6u3/smy8RIkTocnyAtAgMB
AAEwDQYJKoZIhvcNAQEEBQADQQCzH/6uH4YS/7mZjkfnGzuIlUgchCNjC6DQ5c94
eh8O8CkAwcqF84lazyjBzrkss4qbSk8DFsb7gdss1QrCIwsH
-----TERMINE O CERTIFICADO----([new_cert] configuração-SSL-CERT) #
Passo 4
Crie seu SCA separam a regra.
([sslone] da configuração) # SSL
([sslone] do config-ssl) # o new_server do server cria
([mark] do config-ssl-server) # endereço IP 192.168.1.1
([mark] do config-ssl-server) # remoteport 81
([mark] do config-ssl-server) # não transparente
([mark] do config-ssl-server) # new_key da chave
([mark] do config-ssl-server) # new_cert CERT
([mark] do config-ssl-server) # saída
%% nenhum SecPolicy fornecido, usando o padrão!
([sslone] do config-ssl) # saída
([sslone] da configuração) # saída
o sslone# escreve o mem
Nota: Você receberá um mensagem de advertência se a chave privada e o certificado não combinam. Neste exemplo, um aviso foi emitido
porque nenhuma política de segurança foi selecionada; o padrão foi usado.
Troubleshooting
Comandos de exibição úteis:
mostre a chave SSL — Este comando fornece a informação na chave e se é válido.
mostre o CERT SSL — As lista deste comando os índices do certificado e do servidor de lista ordenam que o certificado esteve adicionado a.
Para encontrar a informação adicional no certificado, você pode usar o OpenSSL para ver o certificado. O OpenSSL indicará se o certificado está
no formato PKCS.
OpenSSL> asn1parse -in d:/tmp/cert.pem
Se a pasta PEM não está trabalhando, e você descobre que o formato do certificado é o formato PCKS-7 ou PKCS-12, você pode usar o comando
import no SCA importar o certificado:
(config-ssl[sslone])# import pkcs12 tftp://10.1.1.101 new_cert.pem
Informações Relacionadas
Segurança de RSA
O projeto openSSL
Notas Técnicas de Troubleshooting
© 1992-2015 Cisco Systems Inc. Todos os direitos reservados.
Data da Geração do PDF: 19 Setembro 2015
http://www.cisco.com/cisco/web/support/BR/104/1046/1046928_cert_request_22400.html