Secure Web Appliance에서 암호 해독 인증서 구성

소개

이 문서에서는 SWA(Secure Web Appliance) 및 프록시 클라이언트에서 HTTPS 암호화 인증서를 구성하는 단계에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• SWA의 그래픽 사용자 인터페이스(GUI) 액세스

• SWA에 대한 관리 액세스

사용되는 구성 요소

이 문서는 특정 소프트웨어 및 하드웨어 버전으로 한정되지 않습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

HTTPS 암호 해독

SWA HTTPS(Hypertext Transfer Protocol Secure) 암호 해독은 어플라이언스에 업로드하는 루트 인증서 및 개인 키 파일을 사용하여 트래픽을 암호화합니다. 어플라이언스에 업로드하는 루트 인증서 및 개인 키 파일은 PEM 형식이어야 합니다.

루트 인증 기관이 서명한 중간 인증서를 업로드할 수도 있습니다. SWA는 서버 인증서를 모방할 때 업로드된 인증서와 모방된 인증서를 클라이언트 애플리케이션으로 전송합니다. 이렇게 하면 클라이언트 애플리케이션이 신뢰하는 루트 CA(Certificate Authority)에서 중간 인증서를 서명하는 한 애플리케이션은 모방된 서버 인증서도 신뢰합니다.

SWA에서 암호 해독 인증서 구성

SWA에는 HTTPS 암호 해독에 사용할 현재 인증서와 개인 키를 사용할 수 있는 기능이 있습니다. 그러나 일부 x.509 인증서가 작동하지 않으므로 사용해야 하는 인증서 유형에 혼란이 있을 수 있습니다.

인증서에는 '서버 인증서'와 '루트 인증서'의 두 가지 주요 유형이 있습니다. 모든 x.509 인증서에는 인증서의 유형을 식별하는 Basic Constraints 필드가 포함되어 있습니다.

• Subject Type=End Entity- 서버 인증서
• Subject Type=CA- 루트 인증서

루트 인증서 및 키 업로드

1단계. GUI에서 Security Services 선택 HTTPS Proxy.
2단계. 클릭 Edit Settings.
3단계. Use Uploaded Certificate and Key를 클릭합니다.
4단계. Certificate(인증서) 필드에서 Browse(찾아보기)를 클릭하여 로컬 시스템에 저장된 인증서 파일을 탐색합니다.

5단계. 개인 키 파일을 탐색하려면 Key(키) 필드에 대해 Browse(찾아보기)를 클릭합니다.

6단계. 키가 암호화된 경우 Key is Encrypted(키가 암호화됨)를 선택합니다.
7단계. Upload Files(파일 업로드)를 클릭하여 인증서 및 키 파일을 Secure Web Appliance에 전송합니다.
업로드된 인증서 정보가 Edit HTTPS Proxy Settings(HTTPS 프록시 설정 수정) 페이지에 표시됩니다.
8단계. (선택 사항) Download Certificate(인증서 다운로드)를 클릭하여 네트워크의 클라이언트 애플리케이션에 전송합니다.

9단계. Submit 및 Commit 변경.

HTTPS 프록시에 대한 인증서 및 키 생성

1단계. GUI에서 Security Services 선택 HTTPS Proxy.
2단계. 클릭 Edit Settings.
3단계. 선택 Use Generated Certificate and Key.
4단계. 클릭 Generate New Certificate and Key.
5단계. 의 Generate Certificate and Key 대화 상자에서 정보를 입력하여 루트 인증서에 표시합니다.
Common Name 필드에 슬래시(/)를 제외한 모든 ASCII 문자를 입력할 수 있습니다.
6단계. 클릭 Generate.
7단계. 생성된 인증서 정보가 Edit HTTPS Proxy Settings(HTTPS 프록시 설정 수정) 페이지에 표시됩니다.
8단계. (선택 사항) Download Certificate 네트워크의 클라이언트 애플리케이션으로 전송할 수 있습니다.
9단계. (선택 사항) Download Certificate Signing Request CSR(Certificate Signing Request)을 CA에 제출할 수 있는 링크입니다.
10단계. (선택 사항) 서명된 인증서를 CA에서 다시 받은 후 Secure Web Appliance에 업로드합니다. 어플라이언스에서 인증서를 생성한 후 언제라도 이 작업을 수행할 수 있습니다.
11단계. Submit 및 Commit 변경.

인증서 가져오기

업스트림 프록시 인증서를 SWA로 가져오기

SWA가 업스트림 프록시를 사용하도록 구성되고 업스트림 프록시가 HTTPS 암호 해독용으로 구성된 경우 업스트림 프록시 암호화 인증서를 SWA로 가져와야 합니다.

신뢰할 수 있는 인증서 목록을 관리하고 인증서를 추가한 다음 기능적으로 인증서를 제거할 수 있습니다.

1단계. GUI에서 Network 선택 Certificate Management.
2단계. 클릭 Manage Trusted Root Certificates Certificate Management 페이지에서 확인할 수 있습니다.
3단계. Cisco-recognized(Cisco 인식) 목록이 아닌 서명 기관이 있는 신뢰할 수 있는 사용자 지정 루트 인증서를 추가하려면 Import 인증서 파일을 제출합니다.

4단계. Submit 및 Commit 변경.

SWA 인증서를 다른 SWA로 가져오기

HTTPS 프록시용 한 SWA에 HTTPS 인증서 및 키를 업로드했으며 현재 원본 파일에 액세스할 수 있는 경우 컨피그레이션 파일에서 다른 SWA로 가져올 수 있습니다.

1단계. 두 SWA의 GUI에서 System Administration 을 클릭하고 Configuration File.

2단계. 클릭 Download 파일을 보거나 저장할 수 있습니다.

3단계. 선택 Encrypt passwords 를 클릭합니다.

4단계. (선택 사항) Use a user-defined file name(사용자 정의 파일 이름 사용)을 선택하고 Configuration File(컨피그레이션 파일)에 원하는 이름을 지정합니다.

5단계. 아래에서 Submit(제출)을 클릭합니다. 구성을 다운로드하기 위한 현재 구성 .xml 파일을 클릭합니다.

6단계. 텍스트 편집기 또는 XML 편집기로 다운로드한 파일을 엽니다.

7단계. 인증서를 사용하여 SWA에서 이러한 태그를 복사하고, 태그 내의 모든 데이터를 복사한 다음 다른 SWA의 컨피그레이션 파일에서 대체합니다.

    
    
      .... 
    

    
    
      .... 
    

    
    
      .... 
     
       .... 
      
    

8단계. 변경 내용 저장 .xml  대상 SWA의 파일입니다.

9단계. 편집된 파일을 가져오려면 .xml 컨피그레이션 파일을 대상 SWA로 되돌립니다. GUI에서 System Administration 을 클릭하고 Configuration File.

10단계. 의 Load Configuration 섹션 클릭 Load a configuration file from local computer.

11단계. 파일 선택을 클릭하고 편집된 파일을 선택합니다 .xml 구성 파일.

12단계. 클릭 Load 인증서 및 키가 있는 새 컨피그레이션 파일을 가져오려면

13단계. Commit 시스템에 프롬프트가 표시되면 변경합니다.

Windows 클라이언트에서 SWA 인증서 가져오기 

Microsoft Windows 운영 체제가 설치된 클라이언트 컴퓨터에서 SWA HTTPS 프록시 인증서를 신뢰할 수 있는 인증서로 가져오려면 다음 단계를 수행하십시오.

1단계. 작업 표시줄에서 시작 을 클릭하고 입력 Manage computer certificates.
2단계. 인증서-로컬 컴퓨터 페이지에서 를 확장합니다. Trusted Root Certification Certificates(인증서) 폴더를 마우스 오른쪽 버튼으로 클릭합니다.
3단계. 클릭 All Tasks 선택 Import.
4단계. 인증서 가져오기 마법사 페이지에서 Next.
5단계. SWA 인증서 파일을 가져오려면 Browse SWA에서 다운로드한 인증서를 선택합니다.

6단계. 클릭 Place all certificates in the following 확인란.
7단계. 선택 Trusted Root Certification Authorities 을 클릭하고 Next.
8단계. 클릭 Finish.

또는 이 명령을 사용하여 인증서를 Trusted Root Certification Authorities.

certutil -addstore -f "ROOT" 
    
    

Mac 클라이언트에서 SWA 인증서 가져오기

1단계. SWA에서 Mac OS 클라이언트로 HTTPS 프록시 인증서를 다운로드합니다.

2단계. 파일 확장명 이름을 다음으로 바꿉니다. .crt.

3단계. 인증서를 신뢰할 수 있는 인증서로 가져오려면 다음 명령을 실행합니다.

sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain 
    
    

참고: 현재 다운로드한 인증서 경로 및 파일 이름으로 교체해야 합니다.

Ubuntu/Debian에서 SWA 인증서 가져오기

1단계. SWA에서 HTTPS 프록시 인증서를 다운로드합니다.

2단계. 텍스트 편집기에서 인증서 파일을 열고 모든 내용을 복사합니다.

3단계. 에서 새 파일 만들기 /usr/local/share/ca-certificates/  사용 .crt 확장자입니다.

4단계. 원하는 텍스트 편집기 및 이전에 복사한 텍스트를 새 파일로 편집하고 저장합니다.

5단계. 운영 체제의 인증서를 새로 고치려면 이 명령을 실행합니다.

sudo update-ca-certificates

팁: 클라이언트에 인증서가 로컬로 저장되어 있는 경우 /usr/local/share/ca-certificates/ 실행 sudo update-ca-certificates.

참고: 일부 버전에서는 다음 명령을 사용하여 ca-certificates 패키지를 설치해야 합니다. sudo apt-get install -y ca-certificates.

CentOS 6에서 SWA 인증서 가져오기

1단계. SWA에서 HTTPS 프록시 인증서를 다운로드합니다.

2단계. 텍스트 편집기에서 인증서 파일을 열고 파일 내의 모든 내용을 복사합니다.

3단계. 에서 새 파일 만들기 /etc/pki/ca-trust/source/anchors/  사용 .crt 내선 번호.

4단계. 원하는 텍스트 편집기 및 이전에 복사한 텍스트를 새 파일로 편집하고 저장합니다.

5단계. ca-certificates 패키지를 설치합니다.

yum install ca-certificates

6단계. 운영 체제의 인증서를 새로 고치려면 다음 명령을 실행합니다.

update-ca-trust extract

팁: 클라이언트에 인증서가 로컬로 저장되어 있는 경우 /etc/pki/ca-trust/source/anchors/ 실행 update-ca-trust extract 를 설치한 후 ca-certificates.

CentOS에서 SWA 인증서 가져오기 5

1단계. SWA에서 HTTPS 프록시 인증서를 다운로드합니다.

2단계. 텍스트 편집기에서 인증서 파일을 열고 파일 내의 모든 내용을 복사합니다.

3단계. 현재 폴더에 새 파일 만들기 .crt 확장자(예: SWA.crt).

4단계. 편집 /etc/pki/tls/certs/ca-bundle.crt 원하는 텍스트 편집기를 사용하여 복사한 텍스트를 파일 끝에 붙여 넣고 저장합니다.

팁: 클라이언트에 인증서가 로컬로 저장되어 있는 경우(이 예에서는 파일 이름이 SWA.crt)에서 다음 명령을 사용하여 인증서를 추가할 수 있습니다. cat SWA.crt >>/etc/pki/tls/certs/ca-bundle.crt.

Mozilla Firefox에서 SWA 인증서 가져오기

1단계. SWA에서 HTTPS 프록시 인증서를 다운로드합니다.

2단계. 파일 이름을 다음으로 바꾸기 .crt.

3단계. Firefox를 열고 메뉴를 클릭합니다(오른쪽 상단 모서리에 막대 3개). 

4단계. Settings(설정)를 선택합니다(일부 버전에서는 Options(옵션)).

5단계. 클릭 Privacy & Security 왼쪽 메뉴에서 스크롤하여 Certificates.

6단계. 클릭 View Certificates.

7단계. 다음을 클릭합니다. Authorities 탭, Import.

8단계. 인증서 파일을 선택하고 Open.

9단계. 클릭 OK.

Google Chrome에서 SWA 인증서 가져오기

1단계. SWA에서 HTTPS 프록시 인증서를 다운로드합니다.

2단계. 파일 이름을 다음으로 바꾸기 .crt.

3단계. Google Chrome을 열고 Customize and control Google Chrome(오른쪽 상단 모서리에 점 3개).

4단계. 선택 Settings.

5단계. 클릭 Privacy and Security 왼쪽 메뉴에서 선택합니다.

6단계. 선택 Security.

7단계. 스크롤 Manage certificates  오른쪽에 있는 버튼을 클릭합니다.

8단계. 다음을 선택합니다. Trusted Root Certification Authorities 탭을 클릭하고 Import.

9단계. 인증서 파일을 선택하고 Open.

10단계. 클릭 OK.

참고: 운영 체제에 SWA 인증서를 설치할 경우 Google Chrome은 해당 인증서를 신뢰하므로 브라우저에 인증서를 별도로 가져올 필요가 없습니다.

Microsoft Edge/Internet Explorer에서 SWA 인증서 가져오기

Microsoft Edge 및 Internet Explorer(IE)에서는 운영 체제 인증서를 사용합니다. 운영 체제에 SWA 인증서를 설치 하는 경우 인증서를 브라우저로 별도로 가져올 필요가 없습니다.

Safari에서 SWA 인증서 가져오기

1단계. SWA에서 HTTPS 프록시 인증서를 다운로드합니다.

2단계. 파일 이름을 다음으로 바꾸기 .crt.

3단계. 실행 패드에서 Keychain Access 클릭합니다.

4단계. 에서 File 메뉴 클릭 Add Keychain.

5단계. SWA 인증서 파일을 선택하고 Add.

6단계. 선택 Security.

7단계. 스크롤 Manage certificates 오른쪽에 있는 버튼을 클릭합니다.

8단계. 다음을 선택합니다.Trusted Root Certification Authorities 탭을 클릭하고 Import.

9단계. 인증서 파일을 선택하고 Open.

10단계. 클릭 OK.

그룹 정책에서 클라이언트로 SWA 인증서 가져오기

Active Directory에서 그룹 정책을 기준으로 클라이언트 컴퓨터에 인증서를 배포하려면 다음 단계를 수행합니다.

1단계. SWA에서 HTTPS 프록시 인증서를 다운로드합니다.

2단계. 파일 이름을 다음으로 바꾸기 .crt.

3단계. 인증서 파일을 도메인 컨트롤러에 복사합니다.

4단계. 도메인 컨트롤러에서 start  Cisco의 Group Policy Management 스냅인.

5단계. 원하는 GPO(그룹 정책 개체)를 찾거나 SWA 인증서를 포함하는 새 GPO를 만들어 클라이언트로 가져옵니다.

6단계. GPO를 마우스 오른쪽 단추로 클릭한 다음 Edit.

7단계. 왼쪽 메뉴에서 Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies.

8단계. 마우스 오른쪽 버튼으로 Trusted Root Certification Authorities을 클릭하고 Import.

9단계. 클릭 Next 에 Welcome to the Certificate Import Wizard 페이지를 참조하십시오.

10단계. 가져올 SWA 인증서 파일을 선택하고 Next.

11단계. 클릭 Place all certificates in the following store을 클릭한 다음 Next.

12단계. 제공된 정보가 정확한지 확인하고 Finish.

참고: 일부 조건에서는 클라이언트를 다시 시작하거나 실행해야 합니다 gpupdate /force Active Directory 클라이언트 시스템에 변경 사항을 적용 하려면.

관련 정보

• AsyncOS 14.5 for Cisco Secure Web Appliance - GD 사용 설명서(일반 배포)
• 그룹 정책을 사용하여 클라이언트 컴퓨터에 인증서 배포 | Microsoft Learn
• 기술 지원 및 문서 − Cisco Systems