证书注册

开始之前：

• 生成公钥和私有密钥对。请参阅 自签名数字证书。

• 配置证书颁发机构配置文件。请参阅 示例：配置 CA 配置文件。

• 对于 SCEP，注册 CA 证书。请参阅 使用 SCEP 在线注册 CA 证书。

在此示例中，您将将瞻博网络设备配置为在线获取本地证书，并使用 SCEP 启动指定证书 ID 的在线注册。您可以在 CA 配置文件名称 ca-profile-ipsec中指定 CA 服务器的 URL 路径。

您可以使用 request security pki local-certificate enroll scep 命令启动指定证书 ID 的在线注册。（从 Junos OS 15.1X49-D40 版和 Junos OS 17.3R1 版开始，支持和需要该 scep 关键字。）您必须指定 CA 配置文件名称（例如）、 ca-profile-ipsec与之前生成的密钥对对应的证书 ID（例如 qqq），以及以下信息：

• CA 管理员为证书注册和重新注册提供质询密码。

• 至少使用以下一个值：

  • 在 IKE 协商中用于标识证书所有者的域名，例如 qqq.example.net。

  • 使用电子邮件语句进行 IKE 协商的证书所有者的身份，例如 qqq@example.net。

  • 如果设备为静态 IP 地址配置了 IP 地址，例如。 10.10.10.10

以可识别名称格式的引号指定主题名称，包括域组件 （DC）、通用名称 （CN）、序列号 （SN）、组织单位名称 （OU）、组织名称 （O）、地方性 （L）、州 （ST） 和国家/地区 （C）。

获取设备证书并开始对证书 ID 进行在线注册后。命令将异步处理。

要验证配置是否工作正常，请输入 show security pki 命令。

开始之前：

• 在线或手动获取证书。请参阅 数字证书。

• 获取本地证书。请参阅 示例：使用 SCEP 在线注册本地证书。

您可以让设备自动续订通过在线注册获得或手动加载的证书。自动证书续订让您不必记住在证书到期前续订设备上的证书，并且有助于始终保持证书的有效。

默认情况下，自动证书续订处于禁用状态。您可以启用自动证书续订，并将设备配置为在证书到期前自动发送重新注册请求。您可以指定何时发送证书重新注册请求;重新注册的触发器是证书在到期前保留的生存期百分比。例如，如果要在证书的剩余生存期为 10% 时发送续订请求，则为重新注册触发器配置 10。

要使此功能发挥作用，设备必须能够连接到 CA 服务器，且在续订过程中，设备上必须存在证书。此外，您还必须确保颁发证书的 CA 可以返回相同的 DN。CA 不得在新证书中修改主题名称或备用主题名称扩展。

您可以为所有 SCEP 证书或按证书启用和禁用自动 SCEP 证书续订。您可以使用 set security pki auto-re-enrollment scep 命令启用和配置证书重新注册。在此示例中，您将 CA 证书的证书 ID 指定为 ca-ipsec ，并将与证书关联的 CA 配置文件名称设置为 ca-profile-ipsec。您可以将 CA 证书的质询密码设置为 CA 管理员提供的质询密码;此密码必须与之前为 CA 配置的相同。您还可以将重新注册触发器的百分比设置为 10。在自动重新注册期间，瞻博网络设备默认使用现有密钥对。一种很好的安全做法是重新生成新的密钥对。要生成新的密钥对，请使用 re-generate-keypair 命令。

要验证配置是否工作正常，请输入 show security pki local-certificate detail 操作模式命令。

生成公钥和私有密钥。请参阅 自签名数字证书。

在此示例中，您将使用之前生成的公共-私有密钥对 （ca-ipsec） 的证书 ID 生成证书请求。然后指定域名 （example.net） 和相关通用名称 （abc）。证书请求以 PEM 格式显示。

复制生成的证书请求并将其粘贴到 CA 网站的相应字段中，以获取本地证书。（请参阅 CA 服务器文档，以确定证书请求的粘贴位置。）显示 PKCS #10 内容时，也会显示 PKCS #10 文件的 MD5 哈希和 SHA-1 哈希。

要查看证书签名请求，请输入 show security pki certificate-request detail 命令。

开始之前：

• 生成公钥-私有密钥对。请参阅 自签名数字证书。

• 创建 CA 配置文件。请参阅 了解证书颁发机构配置文件。

  CA 配置文件仅适用于 CA 证书，而本地证书则不需要

• 生成证书请求。请参阅 示例：手动为本地证书生成 CSR 并将其发送至 CA 服务器。

在此示例中，您将下载 local.cert 和 ca.cert 证书，并将其保存到设备上的 /var/tmp/ 目录中。

从 CA 下载证书后，将其转移到设备（例如，使用 FTP），然后加载。

您可以将以下证书文件加载到运行 Junos OS 的设备上：

• 用于识别本地设备的本地或最终实体 （EE） 证书。此证书是您的公钥。

• 包含 CA 公钥的 CA 证书。

• 列出被 CA 撤销的任何证书的 CRL。

  您可以将多个 EE 证书加载到设备上。

要验证正确加载的证书，请在 show security pki local-certificate 操作模式下输入和 show security pki ca-certificate 命令。