内容

概要

前提条件

要件

使用するコンポーネント

表記法

VPNコンセントレータへのデジタル証明書のインストール

VPNコンセントレータへのSSL証明書のインストール

VPNコンセントレータでのSSL証明書の更新

関連情報

概要

このドキュメントでは、デジタルまたは ID 証明書および SSL 証明書を使用して認証するために、Cisco VPN 3000 シリーズ コンセントレータを設定する方法について手順を追って説明します。

注：VPNコンセントレータでは、別のSSL証明書を生成する前にロードバランシングを無効にする必要があります。これは、証明書の生成が妨げられるためです。

PIX/ASA 7.x での同じシナリオに関する詳細については、『ASDM を使用して Microsoft Windows CA から ASA のデジタル証明書を取得する方法』を参照してください。

Cisco IOS(R) プラットフォームを使用する場合の同様のシナリオについては、『拡張された登録コマンドを使用した Cisco IOS の証明書登録の設定例』を参照してください。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、バージョン4.7が稼働するCisco VPN 3000コンセントレータに基づくものです。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細については、『シスコ テクニカル ティップスの表記法』を参照してください。

VPNコンセントレータへのデジタル証明書のインストール

次のステップを実行します。

1. [Administration] > [Certificate Management] > [Enroll]の順に選択し、デジタルまたはID証明書要求を選択します。

2. [Administration] > [Certificate Management] > [Enrollment] > [Identity Certificate]の順に選択し、[Enroll via PKCS10 Request(Manual)]をクリックします。

3. 必要なフィールドに入力し、[登録]をクリックします。

この例では、これらのフィールドに入力します。

- 共通名:altiga30

- 組織単位:IPSECCERT（OUは設定済みのIPsecグループ名と一致する必要があります）

- 組織：シスコシステムズ

- Locality:RTP

- 州/州:NorthCarolina

- 国：米国

- 完全修飾ドメイン名(FQDN):（ここでは使用しません）

- キー サイズ：512

注：Simple Certificate Enrollment Protocol(SCEP)を使用してSSL証明書またはID証明書のいずれかを要求する場合、使用できるRSAオプションは次の場合のみです。

- RSA 512ビット

- RSA 768ビット

- RSA 1024ビット

- RSA 2048ビット

- DSA 512ビット

- DSA 768ビット

- DSA 1024ビット

4. [登録]をクリックすると、いくつかのウィンドウが表示されます。最初のウィンドウで、証明書を要求したことを確認します。

新しいブラウザウィンドウが開き、PKCS要求ファイルが表示されます。

5. 証明機関(CA)サーバで、要求を強調表示し、CAサーバに貼り付けて要求を送信します。[next] をクリックします。

6. [Advanced request]を選択し、[Next]をクリックします。

7. [Submit a certificate request using a base64 encoded PKCS #10 file or a renewal request using a base64 encoded PKCS #7 file]を選択し、[Next]をクリックします。

8. [Saved Request]セクションのテキストフィールドにPKCSファイルをカットアンドペーストします。次に、[Submit] をクリックします。

9. CAサーバでID証明書を発行します。

10. ルート証明書とID証明書をダウンロードします。CAサーバで、[Check on a pending certificate]を選択し、[Next]をクリックします。

11. [Base 64 encoded]を選択し、CAサーバで[Download CA certificate]をクリックします。

12. ID証明書をローカルドライブに保存します。

13. CAサーバで、[Retrieve the CA certificate or certificate revocation list]を選択して、ルート証明書を取得します。次に、[Next] をクリックします。

14. ローカルドライブにルート証明書を保存します。

15. VPN 3000コンセントレータにルート証明書とID証明書をインストールします。これを行うには、[Administration] > [Certificate Manager] > [Installation] > [Install certificate obtain via enrollment] の順に選択します。[Enrollment Status]で、[Install]をクリックします。

16. [Upload File from Workstation]をクリックします。

17. [Browse]をクリックし、ローカルドライブに保存したルート証明書ファイルを選択します。

[Install] を選択して、VPNコンセントレータにID証明書をインストールします。行政 | [Certificate Management]ウィンドウが確認として表示され、新しいID証明書が[Identity Certificates]テーブルに表示されます。

注：証明書が失敗した場合に新しい証明書を生成するには、次の手順を実行します。

1. [Administration] > [Certificate Management]を選択します。

2. SSL証明書リストの[Actions]ボックスで[Delete]をクリックします。

3. [Administration] > [System Reboot]を選択します。

4. [Save the active configuration at time of reboot]を選択し、[Now]を選択して[Apply]をクリックします。リロードが完了すると、新しい証明書を生成できるようになりました。

VPNコンセントレータへのSSL証明書のインストール

ブラウザとVPNコンセントレータ間のセキュアな接続を使用する場合、VPNコンセントレータにはSSL証明書が必要です。また、VPNコンセントレータ、WebVPN、およびWebVPNトンネルを終端する各インターフェイスの管理に使用するインターフェイスにSSL証明書が必要です。

インターフェイスSSL証明書が存在しない場合、VPN 3000コンセントレータソフトウェアをアップグレードした後にVPN 3000コンセントレータがリブートすると自動的に生成されます。自己署名証明書は自己生成されるため、この証明書は検証できません。認証局は、そのIDを保証していません。ただし、この証明書を使用すると、ブラウザを使用してVPNコンセントレータに最初に接続できます。別の自己署名SSL証明書に置き換える場合は、次の手順を実行します。

1. [Administration] > [Certificate Management]を選択します。

2. [Generate] をクリックして、SSL証明書テーブルに新しい証明書を表示し、既存の証明書を置き換えます。

このウィンドウでは、VPNコンセントレータが自動的に生成するSSL証明書のフィールドを設定できます。これらのSSL証明書は、インターフェイスおよびロードバランシング用です。

検証可能なSSL証明書（つまり認証局が発行したもの）を取得する場合は、ID証明書の取得に使用するのと同じ手順を使用するために、このドキュメントの「VPNコンセントレータへのデジタル証明書のインストール」セクションを参照してください。ただし、今回は、[Administration] > [Certificate Management] > [Enroll]ウィンドウで、(ID証明書の代わりにSSL証明書をクリックします。

注：管理を参照してください | VPN 3000 Concentrator Reference Volume IIのCertificate Managementセクション：デジタル証明書およびSSL証明書に関する完全な情報については、管理および監視リリース4.7。

VPNコンセントレータでのSSL証明書の更新

このセクションでは、SSL証明書の更新方法について説明します。

VPNコンセントレータによって生成されたSSL証明書の場合は、SSLセクションのAdministration > Certificate Managementの順に進みます。renewオプションをクリックし、SSL証明書を更新します。

外部CAサーバによって許可された証明書の場合は、次の手順を実行します。

1. SSL CertificatesでAdministration > Certificate Management > Deleteの順に選択して、期限切れの証明書をパブリックインターフェイスから削除します。

SSL証明書の削除を確認するには、[Yes]をクリックします。

2. [Administration] > [Certificate Management] > [Generate]を選択して、新しいSSL証明書を生成します。

パブリックインターフェイスの新しいSSL証明書が表示されます。

関連情報

- Cisco VPN 3000 シリーズ コンセントレータに関するサポート ページ

- IPSec ネゴシエーション/IKE プロトコル

- テクニカル サポートとドキュメント – Cisco Systems