Instalar un certificado SSL firmado en un CSPC

Introducción

Este documento describe cómo instalar los certificados SSL firmados por usted o por una autoridad de certificación (CA) en el CSPC.

Prerequisites

Requirements

• Archivo .key (se genera al crear el archivo .csr para que usted o una CA lo firmen)
• Archivo .crt (es el certificado que coincide con el archivo .key y está firmado por usted o la CA)
• Acceso raíz a CSPC

Sugerencia: como alternativa al archivo .crt, puede proporcionar archivos .cer. Se pueden convertir en archivos .crt para su instalación.

Configurar

Componentes Utilizados

• CSPC (las versiones probadas incluyen 2.7.x 2.8.x 2.9.x y 2.10.x)
• Cliente FTP (como WinSCP, Filezilla, MobaXterm, etc.)

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configuraciones

Importe los archivos en el CSPC

1. Usando un cliente FTP, importe los archivos .crt y .key en /home/collectorogin.
1.1 Si le han proporcionado un .cer, convierta el archivo a .crt. (Sustituya <name> por el nombre del archivo).
openssl x509 -inform DER -in <name>.cer -out localhost.crt

openssl x509 -inform DER -in <name>.cer -out rui.crt

Si el comando anterior da un error (como no poder cargar el certificado), lo que podría suceder en algunos casos, entonces utilice este comando. No puede indicar el error.

openssl x509 -in <name>.cer -out rui.crt

Instalar

2. Cree el almacén de claves.

openssl pkcs12 -export -in localhost.crt -inkey localhost.key > localhost.p12

3. Importar al almacén de claves de CSPC.

/opt/cisco/ss/adminshell/applications/CSPC/jreinstall/bin/keytool -importkeystore -srckeystore localhost.p12 -srcstoretype pkcs12 -destkeystore $CSPCHOME/webui/tomcat/conf/cspcgxt -deststoretype jks

Nota: Solicita la contraseña. Siempre es cspcgxt.

4. Compruebe que se ha importado (hay dos entradas presentes).

/opt/cisco/ss/adminshell/applications/CSPC/jreinstall/bin/keytool -list -v -keystore $CSPCHOME/webui/tomcat/conf/cspcgxt | grep --color 'Your keystore contains'

5. Suprimir el alias anterior.

/opt/cisco/ss/adminshell/applications/CSPC/jreinstall/bin/keytool -delete -alias tomcat -keystore $CSPCHOME/webui/tomcat/conf/cspcgxt

6. Compruebe que sólo hay un alias presente

/opt/cisco/ss/adminshell/applications/CSPC/jreinstall/bin/keytool -list -v -keystore $CSPCHOME/webui/tomcat/conf/cspcgxt | grep --color 'Your keystore contains'

7. Cambie el alias a tomcat.

/opt/cisco/ss/adminshell/applications/CSPC/jreinstall/bin/keytool -changealias -alias 1 -destalias tomcat -keystore $CSPCHOME/webui/tomcat/conf/cspcgxt

8. Reinicie los servicios CSPC.

Para las versiones 2.7.x y 2.8.x:

service cspc restart

Para las versiones 2.9.x y 2.10.x:

systemctl cspc restart

Precaución: guarde los archivos .key y .crt ya que las actualizaciones a CSPC pueden eliminar el certificado SSL y se requiere la reinstalación.

Verificación

Vaya a la pantalla de inicio de sesión de CSPC y seleccione el bloqueo situado a la izquierda de la barra de direcciones e inspeccione el certificado.

Troubleshoot

Al reiniciar, se ha informado que las versiones 2.9.x y 2.10.x tienen problemas con Tomcat. Si la GUI no aparece:
1. Confirme que los servicios tomcat estén activos después del reinicio:

service tomcat status

2. Si el mensaje muestra Active: activating (start), espere de cinco a diez minutos mientras el servicio se está activando. De lo contrario, inícielo manualmente:

service tomcat start

Sugerencia: si aún tiene problemas, póngase en contacto con un cliente potencial o comparta sus comentarios.