FMC에서 인증서 오류 "ID 인증서 가져오기 필요" 트러블슈팅

소개

이 문서에서는 FMC(Firepower Management Center)에서 관리하는 FTD(Firepower Threat Defense) 디바이스의 "ID 인증서 가져오기 필요" 오류를 해결하고 수정하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• PKI(Public Key Infrastructure)
• FMC
• FTD
• OpenSSL

사용되는 구성 요소

문서에서 사용되는 정보는 다음 소프트웨어 버전을 기반으로 합니다.

• MacOS x 10.14.6
• FMC 6.4
• OpenSSL

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

참고: FTD 디바이스에서는 CSR(Certificate Signing Request)이 생성되기 전에 CA(Certificate Authority) 인증서가 필요합니다.

• CSR이 외부 서버(예: Windows Server 또는 OpenSSL)에서 생성된 경우, FTD는 수동 키 등록을 지원하지 않으므로 수동 등록 방법이 실패할 수 있습니다. PKCS12와 같은 다른 메서드를 사용해야 합니다.

문제

FMC에서 인증서를 가져오고 인증서 등록을 진행하려면 ID 인증서가 필요하다는 오류가 수신됩니다.

시나리오 1

• 수동 등록이 선택되었습니다.
• CSR은 외부(Windows Server, OpenSSL 등)에서 생성되며 개인 키 정보가 없습니다
• 이전 CA 인증서가 CA 인증서 정보를 채우는 데 사용되지만 이 인증서가 인증서 서명을 담당하는지 여부는 알 수 없습니다

시나리오 2

• 수동 등록이 선택되었습니다.
• CSR은 외부에서 생성됩니다(Windows Server, OpenSSL).
• CSR에 서명하는 CA의 인증서 파일이 있습니다

두 절차 모두 인증서가 업로드되고 그림과 같이 진행률 표시가 표시됩니다.

몇 초 후 FMC는 여전히 ID 인증서가 필요하다고 말합니다.

이전 오류는 CA 인증서가 ID 인증서의 발급자 정보와 일치하지 않거나 개인 키가 FTD에서 기본적으로 생성된 키와 일치하지 않음을 나타냅니다.

솔루션

이 인증서 등록이 작동하려면 ID 인증서에 대한 해당 키가 있어야 합니다. OpenSSL을 사용하면 PKCS12 파일이 생성됩니다.

1단계. CSR 생성(선택 사항)

CSR 생성기라는 서드파티 툴(csrgenerator.com)을 사용하여 CSR을 개인 키와 함께 가져올 수 있습니다.

인증서 정보가 적절하게 채워지면 CSR 생성 옵션을 선택합니다.

이렇게 하면 CSR + 개인 키가 인증 기관에 전송됩니다.

2단계. CSR에 서명

CSR은 서드파티 CA(GoDaddy, DigiCert)에 의해 서명되어야 하며, CSR이 서명되면 zip 파일이 제공됩니다. 여기에는 다음과 같은 내용이 포함됩니다.

• ID 인증서
• CA 번들(중간 인증서 + 루트 인증서)

3단계. 인증서 확인 및 분리

텍스트 편집기(예: 메모장)를 사용하여 파일을 확인하고 분리합니다. 개인 키(key.pem), ID 인증서(ID.pem), CA 인증서(CA.pem)에 대해 쉽게 식별 가능한 이름으로 파일을 생성합니다.

CA 번들 파일에 2개 이상의 인증서가 있는 경우(루트 CA 1개, 하위 CA 1개), 루트 CA를 제거해야 합니다. ID 인증서 발급자는 하위 CA이므로 이 시나리오에서는 루트 CA가 있으면 안 됩니다.

CA.pem이라는 파일의 내용:

key.pem이라는 파일의 내용:

ID.pem이라는 파일의 내용:

4단계. 인증서를 PKCS12에 병합합니다.

.pfx 파일의 ID 인증서 및 개인 키와 함께 CA 인증서를 병합합니다. 암호를 사용하여 이 파일을 보호해야 합니다.

openssl pkcs12 -export -in ID.pem -certfile ca.pem -inkey key.pem -out new-cert.pfx 

5단계. FMC에서 PKCS12 인증서 가져오기

FMC에서 Device(디바이스) > Certificates(인증서)로 이동하여 원하는 방화벽으로 인증서를 가져옵니다.

다음을 확인합니다.

CA 및 ID 정보와 함께 인증서 상태를 확인하려면 아이콘을 선택하고 성공적으로 가져왔는지 확인할 수 있습니다.

ID 아이콘을 선택합니다.