Zertifikatsregistrierung

Bevor Sie beginnen:

• Generieren Sie ein öffentliches und ein privates Schlüsselpaar. Siehe Selbstsignierte digitale Zertifikate.

• Konfigurieren Sie ein Zertifizierungsstellenprofil. Siehe Beispiel: Konfigurieren eines CA-Profils.

• Registrieren Sie für SCEP das CA-Zertifikat. Siehe Online-Registrierung eines CA-Zertifikats mit SCEP.

In diesem Beispiel konfigurieren Sie Ihr Gerät von Juniper Networks, um online ein lokales Zertifikat zu erhalten und die Online-Registrierung für die angegebene Zertifikats-ID mit SCEP zu starten. Sie geben den URL-Pfad zum CA-Server im CA-Profilnamen ca-profile-ipsecan.

Sie verwenden den request security pki local-certificate enroll scep Befehl, um die Onlineregistrierung für die angegebene Zertifikats-ID zu starten. (Ab Junos OS Version 15.1X49-D40 und Junos OS Version 17.3R1 wird das scep Schlüsselwort unterstützt und erforderlich.) Sie müssen z. B. den CA-Profilnamen, die Zertifikats-ID angeben, ca-profile-ipsecqqqdie einem zuvor generierten Schlüsselpaar entspricht (z. B.) und die folgenden Informationen:

• Das Challenge-Kennwort, das vom CA-Administrator für die Zertifikatsregistrierung und erneute Registrierung angegeben wird.

• Mindestens einer der folgenden Werte:

  • Der Domänenname zur Identifizierung des Zertifikatsbesitzers in IKE-Verhandlungen , qqq.example.netz. B. .

  • Die Identität des Zertifikatsbesitzers für die IKE-Aushandlung mit der E-Mail-Anweisung , z. B qqq@example.net. .

  • Die IP-Adresse, wenn das Gerät für eine statische IP-Adresse konfiguriert ist, 10.10.10.10z. B. .

Geben Sie den Betreffnamen im Format "Distinguished Name" in Anführungszeichen an, einschließlich Domänenkomponente (DC), Common Name (CN), Seriennummer (SN), Organisationseinheitsname (OU), Organisationsname (O), Lokalität (L), Status (ST) und Land (C).

Sobald das Gerätezertifikat erhalten wurde, beginnt die Online-Registrierung für die Zertifikats-ID. Der Befehl wird asynchron verarbeitet.

Geben Sie den Befehl ein, um zu überprüfen, ob die show security pki Konfiguration ordnungsgemäß funktioniert.

Bevor Sie beginnen:

• Erhalten Sie ein Zertifikat online oder manuell. Weitere Informationen finden Sie unter Digitale Zertifikate.

• Holen Sie sich ein lokales Zertifikat. Siehe Beispiel: Online-Registrierung eines lokalen Zertifikats mithilfe von SCEP.

Sie können das Gerät aktivieren, zertifikate, die durch Online-Registrierung erworben oder manuell geladen wurden, automatisch zu erneuern. Die automatische Zertifikatsverlängerung spart Ihnen, dass Sie daran denken müssen, Zertifikate auf dem Gerät vor dem Ablauf zu erneuern, und hilft ihnen, jederzeit gültige Zertifikate zu pflegen.

Die automatische Zertifikatsverlängerung ist standardmäßig deaktiviert. Sie können die automatische Zertifikatsverlängerung aktivieren und das Gerät so konfigurieren, dass automatisch eine Anforderung zur erneuten Registrierung eines Zertifikats gesendet wird, bevor es abläuft. Sie können angeben, wann die Anforderung zur erneuten Registrierung des Zertifikats gesendet werden soll. Der Auslöser für die erneute Registrierung ist der Prozentsatz der Lebensdauer des Zertifikats, der vor ablaufen bleibt. Wenn die Verlängerungsanforderung beispielsweise gesendet werden soll, wenn die verbleibende Lebensdauer des Zertifikats 10 Prozent beträgt, konfigurieren Sie 10 für den Trigger für die erneute Anmeldung.

Damit diese Funktion funktioniert, muss das Gerät den CA-Server erreichen können, und das Zertifikat muss während des Verlängerungsprozesses auf dem Gerät vorhanden sein. Darüber hinaus müssen Sie sicherstellen, dass die Zertifizierungsstelle, die das Zertifikat ausstellt, den gleichen DN zurücksenden kann. Die Zertifizierungsstelle darf den Betreffnamen oder die Erweiterung des alternativen Betreffnamens im neuen Zertifikat nicht ändern.

Sie können die automatische SCEP-Zertifikatsverlängerung entweder für alle SCEP-Zertifikate oder auf Zertifikatsbasis aktivieren und deaktivieren. Sie verwenden den Befehl, um die set security pki auto-re-enrollment scep erneute Zertifikatsregistrierung zu aktivieren und zu konfigurieren. In diesem Beispiel geben Sie die Zertifikats-ID des CA-Zertifikats als an ca-ipsec , und legen den mit dem Zertifikat verknüpften CA-Profilnamen auf ca-profile-ipsec. Sie legen das Challenge-Kennwort für das CA-Zertifikat auf das vom CA-Administrator bereitgestellte Challenge-Kennwort fest. dieses Kennwort muss dasselbe sein, das zuvor für die Zertifizierungsstelle konfiguriert wurde. Sie legen auch den Prozentsatz für den Erneutregistrierungsauslöser auf 10. Bei der automatischen erneuten Registrierung verwendet das Gerät von Juniper Networks standardmäßig das vorhandene Schlüsselpaar. Eine gute Sicherheitspraxis besteht darin, ein neues Schlüsselpaar für die erneute Registrierung neu zu generieren. Verwenden Sie den re-generate-keypair Befehl, um ein neues Schlüsselpaar zu generieren.

Geben Sie den Befehl betriebsmodus ein, um zu überprüfen, ob die show security pki local-certificate detail Konfiguration ordnungsgemäß funktioniert.

Generieren Sie einen öffentlichen und einen privaten Schlüssel. Siehe Selbstsignierte digitale Zertifikate.

In diesem Beispiel generieren Sie eine Zertifikatsanforderung mit der Zertifikats-ID eines öffentlich-privaten Schlüsselpaars, das Sie zuvor generiert haben (ca-ipsec). Dann geben Sie den Domänennamen (example.net) und den zugehörigen allgemeinen Namen (abc) an. Die Zertifikatsanforderung wird im PEM-Format angezeigt.

Sie kopieren die generierte Zertifikatsanforderung und fügen sie in das entsprechende Feld auf der Ca-Website ein, um ein lokales Zertifikat zu erhalten. (In der Ca-Serverdokumentation können Sie herausfinden, wo die Zertifikatsanforderung eingefügt werden soll.) Wenn der PKCS#10-Inhalt angezeigt wird, wird auch der MD5-Hash und der SHA-1-Hash der PKCS #10-Datei angezeigt.

Geben Sie den Befehl ein, um die show security pki certificate-request detail Zertifikatssignaturanforderung anzuzeigen.

Bevor Sie beginnen:

• Generieren Sie ein public-privates Schlüsselpaar. Siehe Selbstsignierte digitale Zertifikate.

• Erstellen Sie ein CA-Profil. Weitere Informationen finden Sie unter Grundlegendes zu Zertifizierungsstellenprofilen.

  CA-Profil ist nur für das CA-Zertifikat und nicht für das lokale Zertifikat erforderlich

• Generieren Sie eine Zertifikatsanforderung. Siehe Beispiel: Manuelles Generieren eines CSR für das lokale Zertifikat und Senden an den CA-Server.

In diesem Beispiel laden Sie die local.cert- und ca.cert-Zertifikate herunter und speichern sie im Verzeichnis /var/tmp/ auf dem Gerät.

Nachdem Sie Zertifikate von einer Zertifizierungsstelle heruntergeladen haben, übertragen Sie sie auf das Gerät (z. B. mithilfe von FTP) und laden sie dann.

Sie können die folgenden Zertifikatsdateien auf ein Gerät mit Junos OS laden:

• Ein lokales oder End-Entity (EE)-Zertifikat, das Ihr lokales Gerät identifiziert. Dieses Zertifikat ist Ihr öffentlicher Schlüssel.

• Ein CA-Zertifikat, das den öffentlichen Schlüssel der Zertifizierungsstelle enthält.

• Eine CRL, die alle von der Zertifizierungsstelle widerrufenen Zertifikate auflistet.

  Sie können mehrere EE-Zertifikate auf das Gerät laden.

Um die geladenen Zertifikate korrekt zu überprüfen, geben Sie die Befehle und show security pki ca-certificate die show security pki local-certificate Befehle im Betriebsmodus ein.