使用OpenSSL為IND和ISE pxGrid整合建立SAN證書

簡介

本文檔介紹如何為Industrial Network Director(IND)和Identity Services Engine之間的pxGrid整合建立SAN證書。

背景資訊

在Cisco ISE中為pxGrid使用建立證書時，無法將伺服器短主機名輸入到ISE GUI中，因為ISE僅允許FQDN或IP地址。

若要建立包含主機名和FQDN的證書，必須在ISE之外建立證書請求檔案。可以使用OpenSSL建立證書簽名請求(CSR)以及使用者替代名稱(SAN)欄位條目。

本文檔不包括在IND伺服器和ISE伺服器之間啟用pxGrid通訊的全面步驟。  在配置pxGrid並確認需要伺服器主機名後，可以使用這些步驟。  如果在ISE探查器日誌檔案中發現此錯誤，通訊需要主機名證書。

Unable to get sync statusjava.security.cert.CertificateException: No subject alternative DNS name matching <IND server hostname> found.

有關使用pxGrid通訊的IND初始部署步驟，請訪問https://www.cisco.com/c/dam/en/us/td/docs/switches/ind/install/IND_PxGrid_Registration_Guide_Final.pdf

需要的應用程式

• Cisco Industrial Network Director(IND)
• 思科身分識別服務引擎(ISE)
• OpenSSL
  • 在多數現代Linux版本以及MacOS中，OpenSSL包是預設安裝的。如果您發現命令不可用，請使用作業系統的軟體包管理應用程式安裝OpenSSL。
  • 有關OpenSSL for Windows的資訊，請訪問https://wiki.openssl.org/index.php/Binaries

其他資訊

就本檔案而言，使用下列詳細資訊：

• IND伺服器主機名：rch-mas-ind
• FQDN:rch-mas-ind.cisco.com
• OpenSSL配置：rch-mas-ind.req
• 證書請求檔名： rch-mas-ind.csr
• 私鑰檔名：rch-mas-ind.pem
• 證書檔名： rch-mas-ind.cer

流程步驟

建立證書CSR

1. 在安裝了OpenSSL的系統上，為OpenSSL選項（包括SAN資訊）建立一個請求文本檔案。
   • 大多數「_default」欄位是可選的，因為可以在步驟10中運行OpenSSL命令時輸入答#2。
   • SAN詳細資訊(DNS.1、DNS.2)是必需的，必須包括DNS短主機名以及伺服器的FQDN。如果需要，可以使用DNS.3、DNS.4等新增其他DNS名稱。
   • 請求檔案文本檔案示例：

     [req] distinguished_name =名稱 req_extensions = v3_req [名稱] countryName =國家/地區名稱（2個字母代碼） countryName_default =美國 stateOrProvinceName =州或省名稱（全稱） stateOrProvinceName_default = TX localityName =城市 localityName_default = Cisco Lab organizationalUnitName =組織單位名稱（例如IT） organizationalUnitName_default = TAC commonName =公用名（例如，您的姓名） commonName_max = 64 commonName_default = rch-mas-ind.cisco.com emailAddress =電子郵件地址 emailAddress_max = 40 [v3_req] keyUsage = keyEncipherment， dataEncipherment extendedKeyUsage = serverAuth， clientAuth subjectAltName = @alt_names [alt_names] DNS.1 = rch-mas-ind DNS.2 = rch-mas-ind.cisco.com

2. 使用OpenSSL在SAN欄位中建立具有DNS短主機名的CSR。除CSR檔案外，再建立私密金鑰檔案。
   • 指令:
        openssl req -newkey rsa:2048 -keyout <server>.pem -out <server>.csr -config <server>.req
   • 出現提示時，輸入您選擇的密碼。  請務必記住此密碼，如同在後續步驟中使用。
   • 出現提示時輸入有效的電子郵件地址，或將該欄位留空，然後按<ENTER>鍵。
     
3. 如果需要，請驗證CSR檔案資訊。對於SAN證書，請檢查「x509v3 Subject Alternative Name」（x509v3主題備用名稱），如本螢幕快照中突出顯示。
   • 命令列：
        openssl req -in <server>.csr -noout -text
     
     
     
4. 在文本編輯器中開啟CSR檔案。  出於安全原因，示例螢幕截圖不完整且經過編輯。 實際產生的CSR檔案包含更多行。
   
5. 將私鑰檔案(<server>.pem)複製到PC，就像在後續步驟中所使用的一樣。

使用思科ISE生成證書，使用建立的CSR檔案資訊

在ISE GUI中：

1. 刪除現有的pxGrid客戶端。
   • 導航到Administration > pxGrid Services > All Clients。
   • 查詢並選擇現有的客戶機主機名（如果列出），
   • 如果找到並選定，請按一下「刪除」按鈕，然後選擇「刪除選定項」。  根據需要進行確認。
2. 建立新證書。
   • 按一下pxGrid服務頁面上的「證書」(Certificates)頁籤。
   • 選擇選項：
     • 「我想」：
       • "生成單個證書（包含證書簽名請求）"
     • "證書簽名請求詳細資訊：
       • 從文字編輯器複製/貼上CSR詳細資訊。  務必包括BEGIN和END行。
     • "證書下載格式"
       • "隱私增強型電子郵件(PEM)格式的證書，PKCS8 PEM格式的金鑰。"
     • 輸入證書密碼並加以確認。
     • 按一下「建立」按鈕。
       
     • 這會建立和下載包含憑證檔案以及憑證鏈結的其他檔案的ZIP檔案。開啟ZIP並解壓縮憑證。
       • 檔名通常為<IND server fqdn>.cer
       • 在ISE的某些版本中，檔名是<IND fqdn>_<IND短名稱>.cer

將新證書匯入到IND伺服器，並將其啟用以供pxGrid使用

在IND GUI中：

1. 禁用pxGrid服務，以便可以匯入新證書並將其設定為活動證書。
   • 導航到Settings > pxGrid。
   • 按一下可禁用pxGrid。
     
2. 將新證書匯入系統證書。
   • 導覽至Settings > Certificate Management。
   • 按一下「System Certificates（系統證書）」
   • 按一下「Add Certificate」。
   • 輸入證書名稱。
   • 按一下「Certificate」左邊的「Browse」，然後找到新的證書檔案。
   • 按一下「Certificate」左邊的「Browse」，然後找到建立CSR時儲存的私鑰。
   • 輸入之前使用OpenSSL建立私鑰和CSR時使用的密碼。
   • 按一下「上傳」。
     

3. 將新證書匯入為受信任的證書。
   • 導航到Settings > Certificate Management，點選Trusted Certificates。
   • 按一下「Add Certificate」。
   • 輸入證書名稱；該名稱必須不同於系統證書上使用的名稱。
   • 按一下「Certificate」左側的「Browse」，然後找到新的證書檔案。
   • 密碼欄位可以留空。
   • 按一下「上傳」。
     

4. 設定pxGrid以使用新證書。
   • 導航到Settings（設定）> Certificate Management（證書管理），按一下Settings（設定）。
   • 如果尚未完成，請選擇「pxGrid」下的「CA證書」。
   • 選擇在證書匯入期間建立的系統證書名稱。
   • 按一下「儲存」。

在ISE伺服器中啟用並註冊pxGrid

在IND GUI中：

1. 導航到Settings > pxGrid。
2. 按一下滑塊以啟用pxGrid。
3. 如果這不是第一次在該IND伺服器上向ISE註冊pxGrid，請選擇「使用現有節點連線」。  自動填充IND節點和ISE伺服器資訊。
4. 要註冊新的IND伺服器以使用pxGrid，如果需要，請選擇「註冊新節點」。  輸入IND節點名稱，並根據需要選擇ISE伺服器。
   • 如果ISE伺服器未列在伺服器1或伺服器2的下拉選項中，則可以使用Settings > Policy Server將其新增為新的pxGrid伺服器

5. 點選註冊(Register)。確認資訊會顯示在螢幕上。
   

在ISE伺服器中批准註冊請求

在ISE GUI中：

1. 導航到Administration > pxGrid Services > All Clients。  待批准請求顯示為「待批准總數(1)」。
2. 點選「待批准總數(1)」，然後選擇「全部批准」。
   
3. 在顯示的彈出視窗中，按一下「全部批准」。
   
4. IND伺服器顯示為客戶端，如下所示。
   

在IND伺服器中啟用pxGrid服務

在IND GUI中：

1. 導航到Settings > pxGrid。
2. 按一下「啟用」。
   
3. 確認資訊會顯示在螢幕上。