인증서 등록

시작하기 전에:

• 공개 및 개인 키 쌍을 생성합니다. 자체 서명 디지털 인증서를 참조하십시오.자체 서명 디지털 인증서

• 인증 기관 프로필을 구성합니다. 예: CA 프로필 구성.

• SCEP의 경우 CA 인증서를 등록합니다. SCEP를 사용하여 온라인으로 CA 인증서 등록을 참조하십시오.SCEP를 사용하여 온라인으로 CA 인증서 등록

이 예에서는 온라인으로 로컬 인증서를 획득하고 SCEP를 사용하여 지정된 인증서 ID에 대한 온라인 등록을 시작하도록 주니퍼 네트웍스 디바이스를 구성합니다. CA 프로파일 이름 에서 CA 서버에 대한 URL 경로를 지정합니다.ca-profile-ipsec

명령을 사용 하 여 지정 된 인증서 ID에 대 한 온라인 등록을 시작 합니다.request security pki local-certificate enroll scep (Junos OS 릴리스 15.1X49-D40 및 Junos OS 릴리스 17.3R1부터 키워드가 지원되며 필수입니다.) CA 프로파일 이름(예: ), 이전에 생성된 키 쌍에 해당하는 인증서 ID(예 : ) 및 다음 정보를 지정해야 합니다.scepca-profile-ipsecqqq

• 인증서 등록 및 재등록을 위해 CA 관리자가 제공한 챌린지 암호입니다.

• 다음 값 중 하나 이상:

  • IKE 협상에서 인증서 소유자를 식별하기 위한 도메인 이름(예: )입니다.qqq.example.net

  • 전자 메일 문과의 IKE 협상을 위한 인증서 소유자의 ID(예: ).qqq@example.net

  • 디바이스가 고정 IP 주소로 구성된 경우 IP 주소(예: ).10.10.10.10

DC(도메인 구성 요소), CN(일반 이름), 일련 번호(SN), OU(조직 구성 단위 이름), 조직 이름(O), 구/군/시(L), 시/도(ST) 및 국가(C)를 포함하여 따옴표 안에 주체 이름을 따옴표 형식으로 지정합니다.

장치 인증서를 가져오면 인증서 ID에 대한 온라인 등록이 시작됩니다. 명령은 비동기적으로 처리됩니다.

구성이 제대로 작동하는지 확인하려면 명령을 입력합니다 .show security pki

시작하기 전에:

• 온라인 또는 수동으로 인증서를 얻습니다. 디지털 인증서를 참조하십시오.디지털 인증서

• 로컬 인증서를 가져옵니다. 예: SCEP를 사용하여 온라인으로 로컬 인증서 등록.

온라인 등록을 통해 획득했거나 수동으로 로드된 인증서를 자동으로 갱신하도록 장치를 설정할 수 있습니다. 자동 인증서 갱신을 사용하면 인증서가 만료되기 전에 디바이스에서 인증서를 갱신하는 것을 기억할 필요가 없으며 항상 유효한 인증서를 유지하는 데 도움이 됩니다.

자동 인증서 갱신은 기본적으로 비활성화되어 있습니다. 자동 인증서 갱신을 활성화하고 만료되기 전에 인증서 재등록 요청을 자동으로 보내도록 디바이스를 구성할 수 있습니다. 인증서 재등록 요청을 보낼 시기를 지정할 수 있습니다. 재등록에 대한 트리거는 만료 전에 남아 있는 인증서 수명의 백분율입니다. 예를 들어 인증서의 남은 수명이 10%일 때 갱신 요청을 보내려면 재등록 트리거에 대해 10을 구성합니다.

이 기능이 작동하려면 디바이스가 CA 서버에 연결할 수 있어야 하며 갱신 프로세스 중에 인증서가 디바이스에 있어야 합니다. 또한 인증서를 발급하는 CA가 동일한 DN을 반환할 수 있는지도 확인해야 합니다. CA는 새 인증서에서 주체 이름 또는 대체 주체 이름 확장명을 수정해서는 안 됩니다.

모든 SCEP 인증서 또는 인증서별로 자동 SCEP 인증서 갱신을 사용하거나 사용하지 않도록 설정할 수 있습니다. 명령을 사용하여 인증서 재등록을 사용하도록 설정하고 구성합니다.set security pki auto-re-enrollment scep 이 예에서는 CA 인증서의 인증서 ID를 로 지정하고 인증서와 연관된 CA 프로파일 이름을 로 설정합니다.ca-ipsecca-profile-ipsec CA 인증서에 대한 챌린지 암호를 CA 관리자가 제공한 챌린지 암호로 설정합니다. 이 암호는 CA에 대해 이전에 구성한 암호와 동일해야 합니다. 또한 재등록 트리거의 백분율을 로 설정합니다.10 자동 재등록 중에 주니퍼 네트웍스 디바이스는 기본적으로 기존 키 페어를 사용합니다. 좋은 보안 방법은 재등록을 위해 새 키 쌍을 다시 생성하는 것입니다. 새 키 페어를 생성하려면 명령을 사용합니다.re-generate-keypair

구성이 제대로 작동하는지 확인하려면 운영 모드 명령을 입력합니다.show security pki local-certificate detail

공개 및 개인 키를 생성합니다. 자체 서명 디지털 인증서를 참조하십시오.

이 예에서는 이전에 생성한 퍼블릭-프라이빗 키 쌍(ca-ipsec)의 인증서 ID를 사용하여 인증서 요청을 생성합니다. 그런 다음 도메인 이름(example.net)과 연결된 일반 이름(abc)을 지정합니다. 인증서 요청은 PEM 형식으로 표시됩니다.

생성된 인증서 요청을 복사하고 CA 웹 사이트의 해당 필드에 붙여넣어 로컬 인증서를 얻습니다. (CA 서버 설명서를 참조하여 인증서 요청을 붙여넣을 위치를 결정합니다.) PKCS #10 내용이 표시되면 PKCS #10 파일의 MD5 해시 및 SHA-1 해시도 표시됩니다.

인증서 서명 요청을 보려면 명령을 입력합니다 .show security pki certificate-request detail

시작하기 전에:

• 퍼블릭-프라이빗 키 쌍을 생성합니다. 자체 서명 디지털 인증서를 참조하십시오.

• CA 프로필을 만듭니다. 인증 기관 프로파일 이해를 참조하십시오.인증 기관 프로파일 이해

  CA 프로필은 CA 인증서에만 필요하며 로컬 인증서에는 필요하지 않습니다

• 인증서 요청을 생성합니다. 예: 로컬 인증서에 대한 CSR을 수동으로 생성하여 CA 서버로 전송합니다.

이 예에서는 local.cert 및 ca.cert 인증서를 다운로드하여 디바이스의 /var/tmp/ 디렉터리에 저장합니다.

CA에서 인증서를 다운로드한 후 디바이스로 전송(예: FTP 사용)한 다음 로드합니다.

Junos OS를 실행하는 디바이스에 다음 인증서 파일을 로드할 수 있습니다.

• 로컬 디바이스를 식별하는 로컬 또는 최종 엔터티(EE) 인증서입니다. 이 인증서는 공개 키입니다.

• CA의 공개 키를 포함하는 CA 인증서입니다.

• CA에 의해 해지된 모든 인증서를 나열하는 CRL입니다.

  디바이스에 여러 EE 인증서를 로드할 수 있습니다.

인증서가 제대로 로드되었는지 확인하려면 운영 모드에서 및 명령을 입력합니다.show security pki local-certificateshow security pki ca-certificate