在ASA8.x上手动安装第三方供应商证书以便与.PDFVIP

在 ASA 8.x 上手动安装第三方供应商证书以便与 WebVPN 一起使用的配置示例 目录 简介 先决条件 要求 使用的组件 规则 配置 步骤 1. 验证 Date、Time 和 Time Zone 值是否准确 步骤 2. 生成证书签名请求 步骤 3. 验证信任点 步骤 4. 安装证书 步骤 5. 将 WebVPN 配置为使用新安装的证书 验证 查看已安装的证书 使用 Web 浏览器验证为 WebVPN 安装的证书 命令 故障排除 相关信息 简介 此配置示例描述如何在 ASA 上手动安装第三方供应商数字证书，以便与 WebVPN 一起使用。此示 例中使用 Verisign Trial Certificate。每个步骤都包含 ASDM 应用程序步骤和 CLI 示例。 先决条件 要求 本文档要求您能够访问证书机构 (CA) 以便进行证书注册。例如，第三方 CA 供应商包括（但不限于 ）Baltimore、Cisco、Entrust、Geotrust、Godaddy、iPlanet/Netscape、Microsoft、RSA、 Thawte 和 VeriSign。 使用的组件 本文档使用运行软件版本 8.0(2) 和 ASDM 版本 6.0(2) 的 ASA 5510。 本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原 始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。 规则 有关文档规则的详细信息，请参阅 Cisco 技术提示规则。 配置 要在 ASA 上安装第三方供应商数字证书，请完成以下步骤： 1. 验证伊达市、时间和时间区域值是准确的 2. 生成证书签名请求 3. 验证信任点 4. 安装证书 5. 配置WebVPN最近使用预装证书 注意： 使用命令查找工具 （仅限注册用户 ）可获取有关本部分所使用命令的详细信息。 步骤 1. 验证 Date、Time 和 Time Zone 值是否准确 ASDM 步骤 1. 单击 Configuration ，然后单击 Device Setup。 2. 展开 System Time ，然后选择 Clock。 3. 验证列出的信息是否准确。要正确通过证书验证，Date、Time 和 Time Zone 值必须准确。 命令行示例 ciscoasa ciscoasa#show clock 11:02:20.244 UTC Thu Jul 19 2007 ciscoasa# 步骤 2. 生成证书签名请求 证书签名请求(CSR)要求为了第三方CA能发行身份证书。CSR 包含 ASA 的可分辨名称 (DN) 字符 串与 ASA 的已生成公钥。ASA 将使用生成的私钥对 CSR 进行数字签名。 ASDM 步骤 1. 单击 Configuration ，然后单击 Device Management。 2. 展开 Certificate Management ，然后选择 Identity Certificates。 3. 单击 Add 。 4. 单击 Add a new identity certificate 单选按钮。 5. 对于 Key Pair，单击 New。注意： 如果使用一2048个位证书，请生成关键2048的位。 6. 单击 Enter new key pair name 单选按钮。您应该明确标识密钥对名称以进行识别。 7. 单击 Generate Now。现在应已创建密钥对。 8. 要定义“Certificate Subject DN”，请单击 Select ，然后配置下表中所列的属性：表 4.1：DN 属 性要配置这些值，可以从 Attribute 下拉列表中选择值或输入值，然后单击 Add 。注意： 某些 第三方供应商在颁发身份证书之前要求提供特定属性。如果不确定需要提供什么属性，请与您 的供应商联系以了解详细信息。 9. 添加相应的值之后，单击 OK。将会出现 Add Identity Certificate 对话框，并显示已填入的 Certificate Subject DN。 10. 单击 Advanced 。 11. 在“FQDN”字段中，输入将用于从 Internet 访问设备的 FQDN。此值应与用于公用名称 (CN) 的 FQDN 相同。 12. 单击 OK ，然后单击 Add Certificate。系