SSL-administration i Cisco ASA
Installation och konfiguration av SSL-certifikat i en Cisco ASA-brandvägg via ASDM.
Introduktion
När du beställer ett SSL-certifikat krävs en Certificate Signing Request (CSR), som genereras från en privat nyckel.
Om du själv vill skapa den privata nyckeln och generera CSR-filen, följ Generering av CSR och därefter Installation av certifikat från CSR
Om CSR-filen har skapats utanför Cisco ASA behöver du ha certifikatet och den privata nyckeln i en .PFX-fil (PKCS12). Följ då Installation av certifikat från .PFX-fil
Generering av CSR
- Öppna Cisco-kontrollpanelen (ASDM).
- Klicka på Configuration.
Klicka på Remote Access VPN i vänstermenyn.
Expandera Certificate Management.
Klicka på Identity Certificates.
Klicka på Add i mitten av fönstret.
- Ange ett Trustpoint Name som gör det enkelt att identifiera certifikatet, t.ex. domännamn och årtal.
Markera Add a new identity certificate.
Klicka på New vid Key Pair till höger.
- Välj vilken typ av nyckel du vill använda. RSA är standard och rekommenderas.
Ge nyckeln ett namn så att du känner igen den, t.ex. domännamnet följt av .key
Ange nyckelstorlek, minst 2048 för RSA och 256 för ECDSA.
Välj General purpose.
Klicka på Generate Now.
- Ange följande information:
- Common Name (CN): Den primära domänen (FQDN). Exempel: vpn.fairssl.dk
- Organization Name (O): Företagets fullständiga namn. Exempel: FairSSL A/S
- Location (L): Ort/Stad. Exempel: Stockholm
- State (St): Region eller län. Exempel: Stockholm
- Country (C): Landskod med två bokstäver enligt ISO-standard, måste vara versaler. Exempel: SE
Välj typ i Attribute.
Ange värdet i Value.
Klicka på Add.
Klicka på OK när alla uppgifter är ifyllda.
- Markera kryssrutan Enable CA flag in basic constraints extension.
Klicka på Advanced till höger.
- Ange domännamnet i FQDN.
Klicka på OK.
- Klicka på Add Certificate.
Välj var du vill spara CSR-filen.
Klicka på OK.
- Öppna CSR-filen i en textredigerare (t.ex. Notepad) och kopiera hela texten inklusive alla bindestreck i början och slutet.
Klistra in texten i CSR-fältet när du beställer certifikatet.
Här är ett exempel på hur en komplett CSR-text ser ut:
En CSR innehåller ingen känslig information och det innebär ingen säkerhetsrisk att till exempel skicka den via vanlig e-post.
Installation av certifikat från CSR
Installera det mellanliggande certifikatet innan du installerar servercertifikatet.
Installation av mellanliggande certifikat
- Öppna Cisco-kontrollpanelen.
- Klicka på Configuration.
Klicka på Remote Access VPN i vänstermenyn.
Expandera Certificate Management.
Klicka på CA Certificates.
- Ange det Trustpoint Name du skapade när du genererade CSR-filen.
Välj filen med det mellanliggande certifikatet, eller kopiera texten direkt från e-postmeddelandet du fått och klistra in den i fältet.
Klicka på Install Certificate.
Installation av servercertifikat
- Klicka på Configuration.
Klicka på Remote Access VPN i vänstermenyn.
Expandera Certificate Management.
Klicka på Identity Certificates.
Välj det certifikat vars Associated Trustpoint har det namn du angav när du genererade CSR-filen.
Välj din certifikatfil.
Klicka på Install Certificate.
- Klicka på Configuration.
Klicka på Remote Access VPN i vänstermenyn.
Expandera Advanced.
Klicka på SSL Settings.
Under Certificates väljer du det gränssnitt (interface) som certifikatet ska användas på.
Klicka på Edit.
Välj det certifikat du nyss installerat.
Klicka på OK.
Klicka på Apply.
Vi rekommenderar att du testar installationen med vår SSL-scanner på: https://www.fairssl.se/sv/verktyg/ssl-scanner
Installation av certifikat från .PFX-fil
- Öppna Cisco-kontrollpanelen.
- Klicka på Configuration.
Klicka på Remote Access VPN i vänstermenyn.
Expandera Certificate Management.
Klicka på Identity Certificates.
Klicka på Add i mitten av fönstret.
- Ange ett Trustpoint Name som gör det enkelt att identifiera certifikatet, t.ex. domännamn och årtal.
Markera Import the identity certificate from a file.
Ange lösenordet till .PFX-filen i Decryption Passphrase.
Välj .PFX-filen.
Klicka på Add Certificate.
- Klicka på Configuration.
Klicka på Remote Access VPN i vänstermenyn.
Expandera Advanced.
Klicka på SSL Settings.
Under Certificates väljer du det gränssnitt (interface) som certifikatet ska användas på.
Klicka på Edit.
Välj det certifikat du nyss installerat.
Klicka på OK.
Klicka på Apply.
Vi rekommenderar att du testar installationen med vår SSL-scanner på: https://www.fairssl.se/sv/verktyg/ssl-scanner
Mellanliggande certifikat
Här hittar du mellanliggande certifikat från de olika certifikatutfärdarna.
Vi rekommenderar att du använder det mellanliggande certifikat som skickades med din beställning, eftersom det alltid är rätt för just ditt servercertifikat. Ladda bara ner det härifrån om du har tappat bort det bifogade certifikatet.
Förbättra din TLS-säkerhet
Använd Mozilla SSL Configuration Generator för att generera en säker TLS-konfiguration med moderna chiffersviter och protokollinställningar.
Guide till Mozilla SSL Configuration Generator