Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Conventions

Installer des certificats numériques sur le concentrateur VPN

Installer des certificats SSL sur le concentrateur VPN

Renouveler les certificats SSL sur le concentrateur VPN

Informations connexes

Introduction

Ce document inclut des instructions détaillées sur la façon de configurer les concentrateurs de la gamme Cisco VPN 3000 pour s'authentifier à l'aide de certificats numériques ou d'identité et de certificats SSL.

Remarque : Dans le concentrateur VPN, l'équilibrage de charge doit être désactivé avant de générer un autre certificat SSL, car cela empêche la génération du certificat.

Référez-vous à Comment obtenir un certificat numérique d'une autorité de certification Microsoft Windows utilisant ASDM sur un ASA afin d'en savoir plus sur le même scénario avec PIX/ASA 7.x.

Référez-vous à Exemple de configuration de l'inscription des certificats Cisco IOS à l'aide des commandes d'inscription avancées afin d'en savoir plus sur le même scénario avec les plates-formes Cisco IOS®.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Les informations de ce document sont basées sur le concentrateur Cisco VPN 3000 qui exécute la version 4.7.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Installer des certificats numériques sur le concentrateur VPN

Procédez comme suit :

1. Choisissez Administration > Certificate Management > Enroll afin de sélectionner la demande de certificat numérique ou d'identité.

2. Choisissez Administration > Certificate Management > Enrollment > Identity Certificate et cliquez sur Enroll via PKCS10 Request(Manual).

3. Remplissez les champs demandés, puis cliquez sur S'inscrire.

Ces champs sont remplis dans cet exemple.

- Nom commun : altiga30

- Unité organisationnelle - IPSECCERT (l'unité d'organisation doit correspondre au nom de groupe IPsec configuré)

- Organisation - Cisco Systems

- Localité : RTP

- État/Province—Caroline du Nord

- Pays—États-Unis

- Nom de domaine complet - (non utilisé ici)

- Taille de clé—512

Remarque : Si vous demandez un certificat SSL ou un certificat d'identité à l'aide du protocole SCEP (Simple Certificate Enrollment Protocol), ce sont les seules options RSA disponibles.

- RSA 512 bits

- RSA 768 bits

- RSA 1024 bits

- RSA 2048 bits

- DSA 512 bits

- DSA 768 bits

- DSA 1024 bits

4. Après avoir cliqué sur S'inscrire, plusieurs fenêtres s'affichent. La première fenêtre confirme que vous avez demandé un certificat.

Une nouvelle fenêtre de navigateur s'ouvre également et affiche votre fichier de demande PKCS.

5. Sur votre serveur d'autorité de certification, mettez en surbrillance la demande et collez-la dans votre serveur d'autorité de certification afin d'envoyer votre demande. Cliquez sur Next (Suivant).

6. Sélectionnez Demande avancée et cliquez sur Suivant.

7. Sélectionnez Soumettre une demande de certificat à l'aide d'un fichier PKCS #10 codé en base64 ou d'une demande de renouvellement à l'aide d'un fichier PKCS #7 codé en base64, puis cliquez sur Suivant.

8. Coupez et collez votre fichier PKCS dans le champ de texte sous la section Requête enregistrée. Cliquez ensuite sur Soumettre.

9. Émettez le certificat d'identité sur le serveur AC.

10. Téléchargez la racine et les certificats d'identité. Sur votre serveur AC, sélectionnez Vérifier un certificat en attente, puis cliquez sur Suivant.

11. Sélectionnez Codé Base 64, puis cliquez sur Télécharger le certificat d'Autorité de certification sur le serveur d'Autorité de certification.

12. Enregistrez le certificat d'identité sur votre lecteur local.

13. Sur le serveur d'autorité de certification, sélectionnez Récupérer le certificat d'autorité de certification ou la liste de révocation de certificat afin d'obtenir le certificat racine. Cliquez ensuite Next.

14. Enregistrez le certificat racine sur votre lecteur local.

15. Installez les certificats racine et d'identité sur le concentrateur VPN 3000. Pour ce faire, sélectionnez Administration > Certificate Manager > Installation > Install certificate obtenu par inscription. Sous État de l'inscription, cliquez sur Installer.

16. Cliquez sur Télécharger le fichier à partir de la station de travail.

17. Cliquez sur Parcourir et sélectionnez le fichier de certificat racine que vous avez enregistré sur votre lecteur local.

Sélectionnez Installer pour installer le certificat d'identité sur le concentrateur VPN. L'administration | La fenêtre Gestion des certificats apparaît sous forme de confirmation et votre nouveau certificat d'identité apparaît dans le tableau Certificats d'identité.

Remarque : Complétez ces étapes pour générer un nouveau certificat en cas d'échec du certificat.

1. Sélectionnez Administration > Gestion des certificats.

2. Cliquez sur Supprimer dans la zone Actions de la liste des certificats SSL.

3. Sélectionnez Administration > Redémarrage du système.

4. Sélectionnez Enregistrer la configuration active au moment du redémarrage, choisissez Maintenant, puis cliquez sur Appliquer. Vous pouvez désormais générer un nouveau certificat une fois le rechargement terminé.

Installer des certificats SSL sur le concentrateur VPN

Si vous utilisez une connexion sécurisée entre votre navigateur et le concentrateur VPN, le concentrateur VPN nécessite un certificat SSL. Vous avez également besoin d'un certificat SSL sur l'interface que vous utilisez pour gérer le concentrateur VPN et pour WebVPN, et pour chaque interface qui termine les tunnels WebVPN.

Les certificats SSL d'interface, s'ils n'existent pas, sont générés automatiquement lorsque le concentrateur VPN 3000 redémarre après la mise à niveau du logiciel du concentrateur VPN 3000. Comme un certificat auto-signé est auto-généré, ce certificat n'est pas vérifiable. Aucune autorité de certification n'a garanti son identité. Mais ce certificat vous permet d'établir un premier contact avec le concentrateur VPN à l'aide du navigateur. Si vous souhaitez le remplacer par un autre certificat SSL autosigné, procédez comme suit :

1. Choisissez Administration > Certificate Management.

2. Cliquez sur Generate afin d'afficher le nouveau certificat dans la table de certificats SSL et de remplacer le certificat existant.

Cette fenêtre vous permet de configurer des champs pour les certificats SSL que le concentrateur VPN génère automatiquement. Ces certificats SSL sont destinés aux interfaces et à l'équilibrage de charge.

Si vous voulez obtenir un certificat SSL vérifiable (c'est-à-dire un certificat délivré par une autorité de certification), consultez la section Installer des certificats numériques sur le concentrateur VPN de ce document afin d'utiliser la même procédure que celle que vous utilisez pour obtenir des certificats d'identité. Mais cette fois, dans la fenêtre Administration > Certificate Management > Enroll, cliquez sur SSL certificate (au lieu de Identity Certificate).

Remarque : reportez-vous à la section Administration | Section Gestion des certificats du Concentrateur VPN 3000 Référence Volume II : Administration et surveillance version 4.7 pour obtenir des informations complètes sur les certificats numériques et les certificats SSL.

Renouveler les certificats SSL sur le concentrateur VPN

Cette section décrit comment renouveler les certificats SSL :

S'il s'agit du certificat SSL généré par le concentrateur VPN, accédez à Administration > Certificate Management dans la section SSL. Cliquez sur l'option de renouvellement, qui renouvelle le certificat SSL.

S'il s'agit d'un certificat délivré par un serveur AC externe, procédez comme suit :

1. Choisissez Administration > Certificate Management >Delete sous SSL Certificates afin de supprimer les certificats expirés de l'interface publique.

Cliquez sur Oui afin de confirmer la suppression du certificat SSL.

2. Choisissez Administration > Certificate Management > Generate afin de générer le nouveau certificat SSL.

Le nouveau certificat SSL pour l'interface publique apparaît.

Informations connexes

- Page d'assistance des concentrateurs VPN Cisco 3000

- Négociation IPSec/Protocoles IKE

- Support et documentation techniques - Cisco Systems