Cisco Configuration Engine インストレーションコンフィギュレーションガイド 3.5

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ

このマニュアル内で検索

ご利用いただける言語

Download Options

Book Title

Cisco Configuration Engine インストレーションコンフィギュレーションガイド 3.5

Chapter Title

Cisco CNS Configuration Engine の SSL セキュリティ

PDF - Complete Book (1.7 MB) PDF - This Chapter (543.0 KB)
View with Adobe Reader on a variety of devices

検索結果

Updated:: 2017年6月20日

章のタイトル： Cisco CNS Configuration Engine の SSL セキュリティ

CNS エージェントと Configuration Engine のセキュリティ

Cisco CNS Configuration Engine の SSL セキュリティ

この章では、CNS エージェントに対応した Cisco IOS デバイスと Cisco CNS Configuration Engine 間の 128 ビット Secure Sockets Layer（SSL）暗号化通信のセットアップとコンフィギュレーションについて説明します。

この章の内容は、次のとおりです。

• 「CNS エージェントと Configuration Engine のセキュリティ」

• 「SSL ホスト通信の基礎」

• 「CNS SSL 通信の 4 つのステップ」

• 「SSL 暗号化通信の実行」

• 「Cisco IOS v12.3(4)T 証明書サーバ」

• 「Cisco IOS 証明書サーバのセットアップ」

• 「IOS 証明書サーバの自己署名（ルート）証明書の表示」

• 「サンプルコマンドと出力」

• 「CNS SSL 通信のトラブルシューティング」

• 「IOS SSL デバイスのトラブルシューティング」

• 「CNS ID の構文」

CNS エージェントと Configuration Engine のセキュリティ

Cisco Configuration Engine サーバと CNS エージェント対応デバイス（ルータ）間の通信には、セキュリティとして次の 3 つの基本的な機能が組み込まれています。

• 識別：一意の CNS エージェント ID。デバイスが Cisco Configuration Engine サーバと通信するためには、少なくとも CNS エージェント ID が必要です。

• 認証：一意の CNS パスワード。認証機能は、通信ハンドシェイクの一環として CNS エージェントが Cisco Configuration Engine サーバに提示する CNS パスワードから成ります。

• 暗号化：128 ビット SSL / Shared PKI SSL トラストポイント証明書。SSL プロトコル。暗号化機能は、業界標準の SSL プロトコルから成ります。これにより、CNS エージェントデバイスと Cisco Configuration Engine サーバ間の通信が保護されます。

デバイス識別は必須機能であるのに対し、認証と暗号化はオプション機能です。2 つのオプション機能のうち、一方または両方をいつでも有効にできます。暗号化には認証は必要なく、認証には暗号化は必要ありません。

各セキュリティ機能は、Cisco Configuration Engine サーバと CNS エージェントデバイスのどちらにおいても、別々に設定および処理されます。

CNS ID、パスワード認証、SSL 暗号化

CNS Configuration Engine には、CPE デバイス識別、認証、および暗号化の設定があります。これらの機能はそれぞれ、CNS Configuration Engine、および CNS Configuration Engine と通信する CNS CPE デバイスのどちらにおいても、別々に設定および処理されます。

CNS エージェントに対応した CPE デバイスが CNS Configuration Engine サーバと通信するためには、CPE デバイス CNS エージェント ID が必要です。認証機能は、CNS エージェント対応デバイスが CNS サーバに提示する CNS パスワードから成ります。暗号化を選択した場合は、通信シーケンスの最初に CNS エージェントと CNS Configuration Engine 間で通信ネゴシエーションが行われます。SSL 暗号化が成功した場合に限り、CNS 識別および CNS 認証プロトコルが通過します。CNS Configuration Engine サーバですべてのオプションを有効にした場合は、CNS エージェント CPE デバイスが各オプションを無事通過する必要があります。そうでなければ、デバイスはどのような目的でもサーバに接続できず、拒否されます。

次のセクションでさらに詳しく説明します。

• 「識別」

• 「認証」

• 「暗号化」

識別

これは必須の設定です。CNS 対応 CPE デバイス（ルータ）が CNS Configuration Engine との通信を開始するためには、事前に各 CPE デバイスに一意の ID を割り当てておく必要があります。1 台のルータに複数の CNS エージェントを設定できます。各エージェントには一意の ID を割り当てる必要があります。

CNS エージェントデバイスで CNS エージェント ID を設定するには、グローバルコンフィギュレーションモードで次のコマンドを入力します。

cns id string <一意の文字列>

cns id string <イベントエージェントの一意の文字列> event

cns id string <イメージエージェントの一意の文字列> image

例

Router#enable

Router#configure terminal

Router(config)#cns id string my-asset-tag1

Router(config)#cns id string my-asset-tag1 event

Router(config)#cns id string my-asset-tag1 image

Router(config)#end

Cisco Configuration Engine サーバでユーザインターフェイスから新しいデバイスオブジェクトをセットアップするとき、管理者はこれらの CNS エージェント ID を指定する必要があります。CNS エージェントデバイスとその ID が Cisco Configuration Engine サーバで設定されていない限り、エージェントからサーバへの接続は受け入れられません。

認証

認証機能は、通信ハンドシェイクの一環として CNS エージェントデバイスが Cisco Configuration Engine サーバに提示する CNS パスワードから成ります。CNS パスワードは次のように使用されます。

• CNS Configuration Engine サーバで、CNS Configuration Engine 管理者が知っているグローバルなワンタイムパスワードとして割り当てられます。

• デバイスが CNS Configuration Engine サーバへの接続を試行する前に、デバイス管理者がこのワンタイムパスワードを CNS エージェント対応デバイスのコンフィギュレーションに設定します。

CNS Configuration Engine の Web ユーザインターフェイスには、[Devices] メニューの下に [Resync Device] というオプションボタンがあります。管理者はこのオプションボタンを使用して、任意の CPE デバイスの一意のパスワードをグローバルなワンタイムパスワードとしてリセットできます。その後、CNS エージェントデバイスが Cisco Configuration Engine サーバへの接続を試行する前に、管理者はこのワンタイムパスワードを CNS エージェントデバイスのコンフィギュレーションに入力する必要があります。デバイスがサーバと同期していない場合は、デバイスをリセットできます。そうすると、接続の成功時にサーバが新しいランダム値を再割り当てします。

CNS Configuration Engine のセットアッププログラムの次のプロンプトは、サーバが CPE デバイスからの CNS パスワードを待つよう設定します。

Authentication settings:

------------------------

Cisco IOS Devices are normally authenticated before being allowed to connect to the Event Gateway/Config Server. Disabling authentication will increase security risk.

Enable authentication (y/n)? [n] y

Cisco Configuration Engine サーバのセットアップ時に、管理者はこの CNS パスワードをグローバルなワンタイムパスワードとして割り当てる必要があります。その後、CNS エージェントデバイスが Cisco Configuration Engine サーバへの接続を試行する前に、管理者はこのワンタイムパスワードを CNS エージェントデバイスのコンフィギュレーションに入力する必要があります。

Cisco Configuration Engine サーバのセットアッププログラムで「Enable authentication」のプロンプトに対して y と答えると、認証が有効になります（「認証の設定」を参照）。こうすると、Cisco Configuration Engine サーバが CNS エージェントデバイスからのパスワードを待つよう設定されます。認証を有効にした後で、管理者は Cisco Configuration Engine のユーザインターフェイスを使用して実際のパスワードを再設定する必要があります。パスワードを設定するには、CNS Configuration Engine Web UI のメニュー [Tools] > [Security Mgr] > [BootStrap] を使用します。

このパスワードは、CPE デバイスから CNS Configuration Engine サーバへの初期接続に使用できます。各 CPE デバイスの識別と認証が成功したら、CNS Configuration Engine サーバはパスワードを生成し、CPE デバイスにランダムなパスワードを自動的に割り当てます。

（注） random cns password コマンドは、セキュリティを高めるために意図的に隠されています。この cns password コマンドは初期パスワードの設定またはリセットに使用できますが、設定後にパスワード値を表示することはできません。

CPE デバイスで CNS パスワードを設定するには、グローバルコンフィギュレーションモードで次のコマンドを入力します。

cns password <パスワード>

例

Router(config)# cns password fgfg123

Router(config)# end

暗号化

CNS エージェント対応デバイスと CNS Configuration Engine 間の CNS 通信は、128 ビット SSL プロトコルの強力暗号化を使用して暗号化できます。これにより、CNS エージェント対応デバイスと

CNS Configuration Engine 間の通信に、業界標準の SSL 暗号化

プロトコルが持つすべての利点がもたらされます。

SSL 暗号化機能に関連する CNS Configuration Engine セットアッププログラムのプロンプトを次に示します。

...other prompts....

Encryption settings:

--------------------

Enable cryptographic (crypto) operation between Event Gateway(s)/Config

server and device(s) (y/n)? [n] y

Certificates already exist. Overwrite (y/n)? y

Enter certificate FTP server (hostname.domainname or IP address): cert-host.mydomain.com

Enter username used for FTP server: cnsie

Enter FTP password: ******

Re-enter FTP password: ******

Enter absolute pathname of remote key file: /tftpboot/server.key

Enter absolute pathname of remote certificate file: /tftpboot/server.cer

Enabling plaintext operation will increase security risk.

Enable plaintext operation between Config Server and devices/GUI

administration (y/n)? [y] n

Enable plaintext operation between Event Gateway and devices (y/n)? [y] n

Enter port number for https web access: [443]

...other prompts....

SSL ホスト通信の基礎

SSL ベースの通信に参加するためには、ホストシステムに次のものが必要です。

• 一般的な PKI 証明書サーバ（CS）、または SSL で使用するデジタル証明書の署名と発行を行う信頼された認証機関（CA）（トラストポイント）

• ホスト名

• DNS サーバ IP アドレス（名前解決）

• DNS ドメイン名（名前解決）

• 日付/時刻ゾーンの設定

• NTP 日付/時刻の更新

• SSL トラストポイントで署名された SSL 証明書

SSL 通信に参加するすべてのホストには、いくつかの基本的なホスト名解決機能とともに、正確な日付と時刻が設定されている必要があります。また、128 ビット SSL 輸出グレード暗号化通信を可能にする強力暗号化ベースのオペレーティングシステムも必要となります。

CNS SSL 通信の 4 つのステップ

CNS エージェント、CNS Configuration Engine、および CNS エージェント SSL 暗号化機能を使用することにより、Cisco IOS デバイスと CNS Configuration Engine の間に信頼される暗号化通信チャネルを確立できます。単一の 128 ビット SSL 接続を介してすべての IOS syslog メッセージ（ファイアウォールや IDS センサのトラフィック、コンフィギュレーションの更新、統計情報の収集、デバイス検出など）の転送を暗号化できます。

CNS エージェントと CNS Configuration Engine 間の SSL 通信をセットアップするには、次の 4 つの基本ステップに従います。

ステップ 1 サーバの自己署名（ルート）証明書を取得する。配置の初期段階で CA を準備し、自己署名証明書を取得しておきます。

ステップ 2 CNS Configuration Engine の SSL 登録。

CNS Configuration Engine は自身の固有の SSL 証明書を登録し、その証明書を Cisco IOS CA サーバから取得する必要があります。CPE デバイスは SSL 接続を確立するために、CNS Configuration Engine の SSL 証明書とルート CA 署名を自身の SSL 証明書と照合します。この登録はファイルのコピーまたは端末/コンソールからのカットアンドペーストの方法で行います。

（注） CNS Configuration Engine のバージョン 1.3.2 および 1.4 には、SCEP プロトコル登録クライアントはありません。

ステップ 3 Cisco IOS トラストポイントを設定する。

Cisco CNS エージェント CPE デバイスは、ルート CA の証明書の自己署名証明書のコピーだけを必要とします。CPE デバイスは自身の固有の証明書を登録する必要がないため、これは単に Cisco IOS トラストポイントの設定 と呼ばれます。CNS Configuration Engine サーバ証明書の検証にも同じルート CA の自己署名証明書を使用できます。これは今日の PC Web ブラウザの機能とよく似ています。

Cisco CPE デバイスは、SSL トラストポイントの設定または CPE デバイス固有の証明書の登録に主に Cisco SCEP 登録プロトコルを利用するよう設計されています。シスコデバイスでの SSL プロトコルの使用は 1999 ～ 2000 年に導入され、証明書登録用の SCEP プロトコルとその関連する機能は Cisco Systems Inc. と Verisign Inc. の合弁事業として開発されました。

ステップ 4 SSL を有効にする。

CNS Configuration Engine でセットアッププログラムを再度実行し、サーバ側で暗号化を有効にします。CPE デバイスの CNS エージェントでは、encrypt キーワードを使用するコマンドを再設定する必要があります。

図 7-1 CNS 128 ビット SSL におけるクライアントとサーバのハンドシェイク

SSL 暗号化通信の実行

サーバ側で暗号化をセットアップすると、Cisco IOS デバイスと CNS Configuration Engine 間でいつでも SSL 暗号化通信を開始できます。キーワード encrypt を指定した IOS コマンドによって接続が試行された CNS エージェントインバウンドサービス接続はすべて、SSL で暗号化されます。

Cisco IOS v12.3(4)T 証明書サーバ

CNS Configuration Engine または SSL Cisco IOS デバイスを設定して証明書の取得やデバイス SSL トラストポイントの設定を行う前に、SSL 証明書サーバ（トラストポイント）をセットアップする必要があります。

Cisco IOS 証明書サーバは、プライマリ証明書登録プロトコルとして HTTP 上の Simple Certificate Enrollment Protocol（SCEP）をサポートします。

最近の Cisco IOS SSL クライアントデバイスは、SCEP をプライマリ証明書サーバ登録プロトコルとして使用して、自身の SSL Cisco IOS トラストポイントを設定します。CNS Configuration Engine は SCEP プロトコルまたはその他の自動登録プロトコルをサポートしていないため、手動での登録（端末からの書き込み）によって自身の SSL 証明書を登録し、その証明書を証明書サーバから取得します。

Engine の証明書登録 IOS コマンド

CNS Configuration Engine の証明書要求では、Cisco IOS CS で端末またはスクリーンダンプからの証明書要求が受け入れられるように、次の構文が必要となります。

crypto pki server {cs-label} request pkcs10 terminal pem

Cisco IOS の証明書登録 IOS コマンド

SCEP による Cisco IOS CPE デバイスの証明書要求では、次のコマンドを使用します。

crypto pki server {cs-label} request pkcs10 url {url}

指定する URL は、Cisco IOS CPE デバイスで SCEP によるトラストポイントの設定に使用されるパスです。

Cisco IOS 証明書サーバのセットアップ

次に、IOS CS のセットアップおよびコンフィギュレーションの簡略版を示します。このうち、サーバ名と発行者名の値をご使用の値に置き換えてください。IOS 証明書サーバの詳細なセットアップについて説明するドキュメントは Cisco.com から入手できます。

Router#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Router(config)#ip http server

Router(config)#crypto pki server IOS-CA-10090

Router(cs-server)#issuer-name CN=My Company,L=San Francisco CA,C=us

Router(cs-server)#grant auto

% This will cause all certificate requests to be automatically granted.

Are you sure you want to do this? [yes/no]: yes

Router(cs-server)#no shutdown

% Once you start the server, you can no longer change some of % the configuration.

Are you sure you want to do this? [yes/no]: yes

% Generating 1024 bit RSA keys ...[OK]

Mar 13 02:15:37.029: %SSH-5-ENABLED: SSH 1.99 has been enabled

% Certificate Server enabled.

Router(cs-server)#end

IOS 証明書サーバの自己署名（ルート）証明書の表示

IOS 証明書サーバで CA の固有の（自己署名された）SSL 証明書を表示するには、次のコマンドを使用します。これは、この CA によって発行されたすべての SSL 証明書を認証する、デジタル署名された証明書です。

show crypto ca certificate

次の例は、ルータプロンプトでの crypto ca certificate コマンドの使用方法を示します。

Router#show crypto ca certificates

CA Certificate

Status: Available

Certificate Serial Number: 01

Certificate Usage: Signature

Issuer:

cn=My Company

l=San Francisco CA

c=us

Subject:

cn=My Company

l=San Francisco CA

c=us

Validity Date:

start date: 02:15:39 UTC Mar 13 2004

end date: 02:15:39 UTC Mar 13 2007

Associated Trustpoints: IOS-CA-10090

show crypto pki server

次の例は、ルータプロンプトでの crypto pki server コマンドの使用方法を示します。

Router#show crypto pki server

Certificate Server IOS-CA-10090:

Status: enabled, configured

CA cert fingerprint: 7F1AEE23 9067BD38 97137AE7 24C80C37

Granting mode is: auto

Last certificate issued serial number: 0x1

CA certificate expiration timer: 02:15:39 UTC Mar 13 2007

CRL NextUpdate timer: 02:15:49 UTC Mar 20 2004

Current storage dir: nvram:

Database Level: Minimum - no cert data written to storage

IOS 証明書サーバへの登録

ここでは、IOS 証明書サーバへの登録手順について説明します。

SCEP プロトコルを使用した証明書の登録

SCEP は、すべての Cisco IOS デバイスで推奨される証明書登録方法です。SCEP 登録に関する IOS クライアントのコンフィギュレーションの例を次に示します。

crypto ca identity SSLrootCA

enrollment url http://myIOSCAserver.com

exit

端末からのコピーアンドペーストを使用した証明書の登録

コマンドライン登録には IOS コマンドへのアクセス権が必要です。証明書要求と応答の両方がコンソールセッション画面に出力されますが、これらはどのファイルにも保存されません。これを CNS Configuration Engine で使用するには、出力された結果を単にテキストとしてファイルにコピーして保存します。証明書を取得するには、次のコマンドを使用します。

Router#crypto pki server iosca request pkcs10 terminal

<<paste request>>

<<copy certificate>>

端末からの登録の例

次の例は、CNS Configuration Engine の証明書要求を使用する方法を示します。

（注）証明書要求には PEM ヘッダーとフッターを付けることができます。

Cisco-1711#crypto pki server IOS-CA-10090 request pkcs10 terminal

% Enter Base64 encoded or PEM formatted PKCS10 enrollment request.

% End with a blank line or "quit" on a line by itself.

-----BEGIN CERTIFICATE REQUEST----MIIDQDCCAigCAQAwgawxCzAJBgNVBAYTAlVTMRMwEQYDVQQIEwpDYWxpZm9ybmlh

MREwDwYDVQQHEwhTYW4gSm9zZTEbMBkGA1UEChMSQ2lzY28gU3lzdGVtcyBJbmMu

MSYwJAYDVQQLEx1OTVRHIENOUyBDb25maWd1cmF0aW9uIEVuZ2luZTENMAsGA1UE

AxMEb3B1czEhMB8GCSqGSIb3DQEJARYSZW1pa3VsaWNAY2lzY28uY29tMIIBIjAN

BgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA84y2NE0C1GY5nnubkG6u2ZYAxK7h

Qy+9UPSfeVYHE3EWuQNuZljoXOd40+/FTfeOEdhh9fsertl+wNavHXwpngDfhx59

dbRduYekAmL7kPVute1BtVB6yJJ7yWRoGW3pG5PinMPXwNQhSRZHgBVBusWtdsD/

/clo7Mly4F2vqYmSVaE0SHLR1QiJKO+0iOx9iBzGxH8S2BpfdjwBKwO2MzRFgPhV

PgjtMvNDA47DgwfcuSiO6liW1Cv/g3GgzBT/G6sWzf6ah2+kTLQq9XXim5b9J2Hf

IIniAwohSq+kHo8f/cbq+WT/BwLaU163oZXiNKUxeYBYCuzZ7GGMkRHVwQIDAQAB

oE4wGAYJKoZIhvcNAQkHMQsTCWNyaW1zb241NTAyBgkqhkiG9w0BCQIxJRMjTmV0

d29yayBNYW5hZ2VtZW50IFRlY2hub2xvZ3kgR3JvdXAwDQYJKoZIhvcNAQEEBQAD

ggEBABtrhmhJYP3iD5iencZzQr4P8bwDjtYAS4B0EpFAfeymGV5ZSKMM3pLEbac8

iVL2EbLwB1G25O24PiFOmysw60+ehmR4TR1yI3pMZ7oTn71md4a3z04GAw6o9q4u

xPEWx07LckkGdmaZAd5t9+hLrBWTq+gZmZszVkenhBPIEdDh8gN0XKM5xd9IVtio

jZNJVeXPlVxWFT/nIz+BaVolJenuqrB6wgWjMoAfvknr2v9axIf8P6j80vPSX3wU

H+JUNCYTa4hXoX8sK9xeoHpqNyvVMz6ntAgHe+JjJyfRlLxq/hnbcem83lyr2Mix

% Granted certificate:

MIIDBzCCAnCgAwIBAgIBAjANBgkqhkiG9w0BAQQFADA9MQswCQYDVQQGEwJ1czEZ

MBcGA1UEBxMQU2FuIEZyYW5jaXNjbyBDQTETMBEGA1UEAxMKTXkgQ29tcGFueTAe

Fw0wNDAzMTMwMjIzNDRaFw0wNTAzMTMwMjIzNDRaMIGsMQswCQYDVQQGEwJVUzET

MBEGA1UECBMKQ2FsaWZvcm5pYTERMA8GA1UEBxMIU2FuIEpvc2UxGzAZBgNVBAoT

EkNpc2NvIFN5c3RlbXMgSW5jLjEmMCQGA1UECxMdTk1URyBDTlMgQ29uZmlndXJh

dGlvbiBFbmdpbmUxDTALBgNVBAMTBG9wdXMxITAfBgkqhkiG9w0BCQEWEmVtaWt1

bGljQGNpc2NvLmNvbTCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBAPOM

tjRNAtRmOZ57m5BurtmWAMSu4UMvvVD0n3lWBxNxFrkDbmZY6FzneNPvxU33jhHY

YfX7Hq7ZfsDWrx18KZ4A34cefXW0XbmHpAJi+5D1brXtQbVQesiSe8lkaBlt6RuT

4pzD18DUIUkWR4AVQbrFrXbA//3JaOzJcuBdr6mJklWhNEhy0dUIiSjvtIjsfYgc

xsR/EtgaX3Y8ASsDtjM0RYD4VT4I7TLzQwOOw4MH3LkojupYltQr/4NxoMwU/xur

Fs3+modvpEy0KvV14puW/Sdh3yCJ4gMKIUqvpB6PH/3G6vlk/wcC2lNet6GV4jSl

MXmAWArs2exhjJER1cECAwEAAaMjMCEwHwYDVR0jBBgwFoAUUmc3z2kTZuJ3JJAW

BQGz2gYFGuQwDQYJKoZIhvcNAQEEBQADgYEAHOsmp3H2wii8NaoYV8uXsbIYyk5V

KDIpB3EX6G74b6MG0egzH+39HYJT7S7uevyPEbMg1xusJoeRmUGl0GricJcmlPUL

cqqSt+nueOpiZs0W1pwqunqYTkTy3DP1oyxSWA1Xe9sIJQXcPvppj+7KvpIvckCk

RqgVxWG1aPcBTYI=

（注） PEM 形式の証明書が必要な場合は、次の PEM ヘッダーを手動で追加します。

-----BEGIN CERTIFICATE-----

<<hex data>>

-----END CERTIFICATE-----

Hence the issued request would end up with headers above and below it’s first and last

data lines:

-----BEGIN CERTIFICATE----MIIDBzCCAnCgAwIBAgIBAjANBgkqhkiG9w0BAQQFADA9MQswCQYDVQQGEwJ1czEZ