تكوين شهادة واجهة المستخدم الرسومية (GUI) ل Secure Web Appliance

المقدمة

يصف هذا المستند الخطوات اللازمة لتكوين شهادات واجهة ويب الإدارة ل Secure Web Appliance (SWA).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• أداره /سوا/.

توصي Cisco بأن يكون لديك:

• تم تثبيت SWA المادية أو الافتراضية.

• الوصول الإداري إلى واجهة المستخدم الرسومية (GUI) ل SWA.
• الوصول الإداري إلى واجهة سطر أوامر SWA (CLI).

المكونات المستخدمة

لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

شهادة واجهة مستخدم ويب

علينا أولا إختيار نوع الشهادات التي نريد إستخدامها في واجهة مستخدم ويب لإدارة SWA (واجهة مستخدم ويب).

وبشكل افتراضي، تستخدم SWA "الشهادة التجريبية لجهاز Cisco:"

• CN = شهادة العرض التوضيحي لجهاز Cisco
• o = Cisco Systems، Inc
• L = سان خوسيه
• س = كاليفورنيا
• C = الولايات المتحدة

يمكنك إنشاء شهادة موقعة ذاتيا في SWA أو إستيراد شهادات خاصة بك تم إنشاؤها بواسطة خادم المرجع المصدق الداخلي (CA).

لا تعتمد SWA تضمين أسماء المواضيع البديلة (SAN) عند إنشاء طلب توقيع شهادة (CSR). وبالإضافة إلى ذلك، لا تدعم شهادات SWA الموقعة ذاتيا سمات SAN أيضا. لاستخدام الشهادات ذات سمات شبكة منطقة التخزين (SAN)، يجب إنشاء الشهادة وتوقيعها بنفسك، مع التأكد من أنها تتضمن تفاصيل شبكة منطقة التخزين (SAN) الضرورية. بمجرد إنشاء هذه الشهادة، يمكنك تحميلها إلى SWA لاستخدامها. يتيح لك هذا النهج تحديد أسماء بيوت متعددة أو عناوين IP أو معرفات أخرى، مما يوفر مرونة وأمانا أكبر لبيئة الشبكة الخاصة بك.

ملاحظة: يجب أن تتضمن الشهادات المفتاح الخاص ويجب أن يكون بتنسيق PKCS#12.

خطوات تعديل شهادة واجهة الويب

الخطوة 1. قم بتسجيل الدخول إلى واجهة المستخدم الرسومية (GUI) وحدد الشبكة من القائمة العليا.

الخطوة 2. أختر إدارة الشهادات.

الخطوة 3. من شهادات الجهاز حدد إضافة شهادة.

الخطوة 4. حدد نوع الشهادة (شهادة موقعة ذاتيا أو شهادة الاستيراد).

الصورة - إختيار نوع الشهادة

الخطوة 5. إذا قمت بتحديد شهادة موقعة ذاتيا، أستخدم الخطوات التالية. وإلا، فقم بالتخطي إلى الخطوة 6.

الخطوة 5.1. أكمل الحقول.

صورة - تفاصيل شهادة التوقيع الذاتي

ملاحظة: يجب أن يكون حجم المفتاح الخاص في النطاق من 2048 إلى 8192.

الخطوة 5.2. انقر فوق Next (التالي).

الصورة - تنزيل CSR

الخطوة 5.3. (إختياري) يمكنك تنزيل CSR وتوقيعه باستخدام خادم CA بمؤسستك، ثم تحميل الشهادة الموقعة وإرسالها.

الخطوة 5.4.إرسال إذا كانت الشهادة الموقعة ذاتيا الحالية مناسبة.

الخطوة 5.5. تخطي الخطوة 7.

الخطوة 6. إذا أخترت إستيراد شهادة.

الخطوة 6.1. إستيراد ملف الشهادة (تنسيق PKCS#12 مطلوب).

الخطوة 6.2. أدخل كلمة المرور الخاصة بملف الشهادة. 

صورة - إستيراد شهادة

الخطوة 6.3. انقر فوق Next (التالي).

الخطوة 6.4. إرسال التغييرات.

الخطوة 7. تنفيذ التغييرات.

الخطوة 8. سجل الدخول إلى واجهة سطر الأوامر.

الخطوة 9. اكتب certconfig واضغط Enter. 

الخطوة 10. اكتب setup.

الخطوة 11. اكتب Y، ثم اضغط على مفتاح Enter.

ملاحظة: عند تغيير الشهادة، يمكن للمستخدمين الإداريين الذين يقومون بتسجيل الدخول حاليا إلى واجهة مستخدم ويب مواجهة خطأ اتصال وقد يفقدون تغييرات لم يتم إرسالها. لا يحدث ذلك إلا إذا لم يكن قد تم وضع علامة "موثوق به" على الشهادة من قبل المستعرض.

الخطوة 12. أختر 2 للتحديد من قائمة الشهادات المتاحة.

الخطوة 13. حدد عدد الشهادات المطلوبة لاستخدامها لواجهة المستخدم الرسومية.

الخطوة 14. إذا كان لديك شهادة وسيطة، وتريد إضافتهم اكتب Y غير ذلك اكتب N .

ملاحظة: إذا كنت بحاجة إلى إضافة الشهادة الوسيطة، يجب عليك لصق الشهادة الوسيطة بتنسيق PEM والانتهاء ب '.' (فقط dot).

SWA_CLI> certconfig

Choose the operation you want to perform:
- SETUP - Configure security certificate and key.
- OCSPVALIDATION - Enable OCSP validation of certificates during upload
- RESTRICTCERTSIGNATURE - Enable restricted signature validation of certificates during upload
- OCSPVALIDATION_FOR_SERVER_CERT - Enable OCSP validation for server certificates
- FQDNVALIDATION - FQDN validation for certificate
[]> SETUP

Currently using the demo certificate/key for HTTPS management access.

When the certificate is changed, administrative users who are currently logged in to the web user interface may experience a connection error and could lose unsubmitted changes. This 
occurs only if the certificate is not already marked as trusted by the browser.

Do you want to continue? [Y]> Y

Management (HTTPS):
Choose the operation you want to perform:
1. PASTE - Copy paste cert and key manually
2. SELECT - select from available list of certificates
[1]> 2

Select the certificate you want to upload
1. SelfSignCertificate
2. SWA_GUI.cisco.com
[1]> 1

Do you want add an intermediate certificate? [N]> N

Successfully updated the certificate/key for HTTPS management access.

الخطوة 15. اكتب الالتزام لحفظ التغييرات. 

إختبار الشهادة من سطر الأوامر

يمكنك التحقق من الشهادة باستخدام الأمر openSSL:

 openssl s_client -connect 
    
    
      : 
      
    

في هذا مثال، ال hostname swa.cisco.com والإدارة قارن ثبتت كتقصير (TCP ميناء 8443).

في السطر الثاني من الإخراج، يمكنك رؤية تفاصيل الشهادة:

openssl s_client -connect SWA.cisco.com:8443
CONNECTED(00000003)
depth=0 C = US, CN = SelfSignCertificate, L = City, O = CiscoLAB, ST = State, OU = SWA

الأخطاء الشائعة 

فيما يلي بعض الأخطاء الشائعة التي يمكنك مواجهتها أثناء محاولة إنشاء شهادة واجهة المستخدم الرسومية أو تعديلها.

خطأ تنسيق PKCS#12 غير صحيح

صورة - تنسيق PKCS#12 غير صالح

قد يكون هناك سببان لهذا الخطأ:

1. ملف الشهادة تالف وغير صالح.

حاول فتح الشهادة، إذا حصلت على خطأ أثناء الفتح، يمكنك إعادة إنشاء الشهادة أو تنزيلها مرة أخرى.

2. لم يعد CSR الذي تم إنشاؤه مسبقا صالحا.

عند إنشاء CSR، يجب التأكد من إرسال التغييرات وتنفيذها. السبب هو عدم حفظ CSR الخاص بك عند تسجيل خروجك أو تغيير الصفحات. يحتوي ملف التعريف الذي أنشأته عند إنشاء CSR على المفتاح الخاص المطلوب لتحميل ترخيصك بنجاح. بمجرد إختفاء ملف التعريف هذا، يختفي المفتاح الخاص. لذلك، يجب إنشاء CSR آخر ثم مرة أخرى إلى CA الخاص بك.

يجب أن تكون الأيام عددا صحيحا 

الصورة - يجب أن تكون الأيام خطأ عدد صحيح

يرجع سبب هذا الخطأ إلى انتهاء صلاحية الشهادة التي تم تحميلها أو انتهاء صلاحيتها لمدة 0 أيام. 

لحل هذه المشكلة، الرجاء التحقق من تاريخ انتهاء صلاحية الشهادة والتأكد من صحة تاريخ SWA ووقته.

خطأ في التحقق من صحة الشهادة

يعني هذا الخطأ عدم إضافة المرجع المصدق الجذر أو المرجع المصدق الوسيط في قائمة شهادة الجذر الموثوق فيها في SWA. لحل المسألة، إذا كنت تستخدم كلا من CA الجذر والنسخة الوسيطة:

1. تحميل المرجع المصدق الجذر إلى SWA، ثم الالتزام.

2. قم بتحميل المرجع المصدق الوسيط، ثم قم بتنفيذ التغييرات مرة أخرى.

3. قم بتحميل شهادة واجهة المستخدم الرسومية (GUI).

كلمة المرور غير صحيحة

صورة - كلمة مرور غير صالحة

يشير هذا الخطأ إلى أن كلمة مرور شهادة PKCS#12 غير صحيحة. لحل الخطأ، اكتب كلمة المرور الصحيحة، أو أعد إنشاء الشهادة. 

الشهادة غير صالحة بعد

الصورة - الشهادة غير صالحة بعد

1. تأكد من صحة تاريخ SWA ووقته. 

2. تحقق من تاريخ الشهادة وتأكد من صحة تاريخ ووقت عدم السابقة. 

إعادة تشغيل خدمة GUI من CLI 

لإعادة تشغيل خدمة WebUI، يمكنك إستخدام الخطوات التالية من CLI:

الخطوة 1. سجل الدخول إلى CLI. 

الخطوة 2. اكتب diagnostic (هذا أمر مخفي ولا يكتب تلقائيا مع TAB).

الخطوة 3. أختر الخدمات.

الخطوة 4. حدد WEBUI.

الخطوة 5. أختر إعادة التشغيل.

معلومات ذات صلة

• دليل المستخدم ل AsyncOS 15.0 ل Cisco Secure Web Appliance - GD(نشر عام) - تصنيف المستخدمين النهائيين لتطبيق السياسة [جهاز الويب الآمن من Cisco] - Cisco