Introdução
Este documento descreve o uso da atualização automática dos pacotes CA da Cisco para o Secure Firewall Management Center e o Secure Firewall Device Manager.
Pré-requisitos
Requisitos
A Cisco recomenda que você tenha conhecimento destes tópicos:
- Conhecimento do Cisco Secure Firewall Management Center (anteriormente conhecido como Firepower Management Center) e do Secure Firewall Device Manager (anteriormente conhecido como Firepower Device Manager).
- Conhecimento do Secure Firewall Appliance (anteriormente conhecido como Firepower).
Componentes Utilizados
As informações neste documento são baseadas nestas versões de software e hardware:
- Cisco Secure Firewall Management Center (FMC 1000, 1600, 2500, 2600, 4500, 4600 e virtual) executando a versão de software 7.0.5 e superior.
- Cisco Secure Firewall Management Center (FMC 1600, 2600, 4600 e virtual) executando a versão de software 7.1.0-3 e superior.
- Cisco Secure Firewall Management Center (FMC 1600, 2600, 4600 e virtual) executando a versão de software 7.2.4 e superior.
- Cisco Secure Firewall (FPR 1000, 2100, 3100, 4100, 9300, ISA3000 e virtual) executando a versão de software 7.0.5 e superior, gerenciado pelo Secure Firewall Device Manager.
- Cisco Secure Firewall (FPR 1000, 2100, 3100, 4100, 9300, ISA3000 e virtual) executando a versão de software 7.1.0-3 e superior, gerenciado pelo Secure Firewall Device Manager.
- Cisco Secure Firewall (FPR 1000, 2100, 3100, 4100, 9300, ISA3000 e virtual) executando a versão de software 7.2.4 e superior, gerenciado pelo Secure Firewall Device Manager.
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
Informações de Apoio
Usos dos pacotes CA da Cisco
Os dispositivos Cisco Secure Firewall (anteriormente conhecidos como Firepower) usam pacotes de CA local que contêm certificados para acessar vários serviços Cisco (Smart Licensing, Software, VDB, SRU e atualizações de localização geográfica). O sistema agora consulta automaticamente a Cisco para obter novos certificados CA em um horário definido pelo sistema diariamente. Anteriormente, era necessário atualizar o software para atualizar os certificados CA.
Nota: Este recurso não é suportado nas versões 7.0.0 a 7.0.4, 7.1.0 a 7.1.0-2 ou 7.2.0 a 7.2.3. Se você atualizar de uma versão suportada para uma versão não suportada, o recurso será desativado temporariamente e o sistema interromperá o contato com a Cisco.
Configurar a atualização automática para pacotes de CA no SFMC e no SFDM
Habilitar Atualização Automática para Pacotes de Autoridades de Certificação
Para ativar a Atualização automática para pacotes CA no Secure Firewall Management Center e no Gerenciador de dispositivos do Secure Firewall:
- Acesse o SFMC ou o SFDM pela CLI usando o SSH ou o console.
- Execute o comando configure cert-update autoupdate enable na CLI:
> configure cert-update auto-update enable
Autoupdate is enabled and set for every day at 18:06 UTC
3. Para testar se a atualização do pacote de CA pode ser atualizada automaticamente, execute o comando configure cert-update test:
> configure cert-update test
Test succeeded, certs can safely be updated or are already up to date.
Executar manualmente a atualização para pacotes de autoridade de certificação
Para executar manualmente os pacotes de atualização para CA no Secure Firewall Management Center e no Secure Firewall Device Manager:
- Acesse o SFMC ou o SFDM pela CLI usando o SSH ou o console.
- Execute o comando configure cert-update run-now na CLI:
> configure cert-update run-now
Certs have been replaced or was already up to date.
Verificar
Validar a atualização automática dos pacotes de CA
Para validar a configuração da Atualização automática para pacotes CA no Secure Firewall Management Center e no Gerenciador de dispositivos do Secure Firewall:
- Acesse o SFMC ou o SFDM pela CLI usando o SSH ou o console.
- Execute o comando show cert-update na CLI:
> show cert-update
Autoupdate is enabled and set for every day at 18:06 UTC
CA bundle was last modified 'Wed Jul 19 03:11:31 2023'
Troubleshooting
Erro de atualização
Etapas recomendadas:
- Valide sua configuração DNS atual.
- Valide a configuração de Internet e proxy para a Interface de Gerenciamento.
- Confirme se você tem conectividade com tools.cisco.com usando ICMP e curl com o comando no modo especialista:
sudo curl -vvk https://tools.cisco.com
Feedback