如何使用 ASA 上的 ASDM 从 Microsoft Windows CA 获得数字证书

数字证书可以用于对网络上的网络设备和用户进行身份验证。可用于协商网络节点之间的 IPSec 会话。

Cisco 设备以三种主要方式在网络上安全地标识自身：

预共享密钥。两个或更多设备可以拥有相同的共享密钥。对等体通过计算和发送包括预共享密钥的数据监控哈希互相进行身份验证。如果接收方对等体可以独立地使用其预共享密钥创建相同的哈希，则它就会了解两个对等体必须共享同一个密钥，从而对另一个对等体进行身份验证。此方法要手动进行，因此扩展性不高。

自签名证书。设备生成其自己的证书，并将其签名为有效。此类型的证书应限制用途。将此证书与 SSH 和 HTTPS 访问配合用于配置目的是好例子。形成这种联系需要一个单独的用户名/口令对。

注：持久自签名证书在路由器重新加载后仍然有效，因为它们保存在设备的非易失性随机访问存储器(NVRAM)中。有关详细信息，请参阅永久自签名证书。一个好的用法示例是 SSL VPN (WebVPN) 连接。

证书颁发机构证书。第三方对于尝试通信的两个或更多节点验证有效性和身份。每个节点都有公钥和私钥。公钥将数据加密，而私钥将数据解密。由于这些密钥从相同来源获得其证书，因此可以确保其各自的身份。ASA 设备可以通过手动注册方法或自动注册方法从第三方获得数字证书。

注：您选择的数字证书的注册方法和类型取决于每个第三方产品的特性和功能。有关详细信息，请与证书服务的供应商联系。

思科自适应安全设备(ASA)可以使用第三方证书颁发机构(CA)提供的预共享密钥或数字证书对IPSec连接进行身份验证。此外，ASA 可以生成自己的自签名数字证书。这应用于与设备的SSH、HTTPS和思科自适应安全设备管理器(ASDM)连接。

本文档演示了从ASA的Microsoft证书颁发机构(CA)自动获取数字证书所需的过程。其中不包括手动的注册方法。本文档使用ASDM执行配置步骤，并提供最终的命令行界面(CLI)配置。

要了解有关Cisco IOS®平台的相同方案的详细信息，请参阅Cisco IOS证书注册使用增强型注册命令的配置示例。

要详细了解与 Cisco VPN 3000 系列集中器相同的场景，请参阅配置 Cisco VPN 3000 集中器 4.7.x 以获得数字证书和 SSL 证书。

尝试进行此配置之前，请确保满足以下要求：

ASA 设备的要求

将Microsoft® Windows 2003 Server配置为CA。

请参阅 Microsoft 文档或 Windows Server 2003 的公钥基础架构

要允许自适应安全设备管理器(ASDM)配置Cisco ASA或PIX版本7.x，请参阅允许ASDM的HTTPS访问。

安装证书服务的附加项 (mscep.dll)。

从Simple Certificate Enrollment Protocol(SCEP)Add-on for Certificate Services 或从Windows Server 2003 Resource Kit Tools获取Add-on的可执行文件(cepsetup.exe) ，或mscep.dll文件。

注意：在Microsoft Windows计算机上配置正确的日期、时间和时区。强烈建议使用网络时间协议(NTP)，但不必使用。

本文档中的信息基于以下软件和硬件版本：

软件版本为 7.x 及更高版本的 Cisco ASA 5500 系列自适应安全设备

Cisco 自适应安全设备管理器版本 5.x 及更高版本

Microsoft Windows 2003 Server 证书颁发机构

此配置也可用于Cisco PIX 500系列安全设备版本7.x。

有关文档约定的更多信息，请参考 Cisco 技术提示约定。

此部分中向您展示如何配置 ASA 从 Microsoft 证书颁发机构接收证书。

数字证书使用日期/时间/时区部分作为检查证书有效性的一种方法。必须用正确的日期和时间配置 Microsoft CA 和您的所有设备。Microsoft CA 使用其证书服务的附加项 (mscep.dll) 与 Cisco 设备共享证书。

完成下列步骤以配置 ASA：

打开 ASDM 应用程序，然后单击 Configuration 按钮。

从左侧菜单中单击 Properties 按钮。

从导航窗格中单击 Device Administration > Device。

输入 ASA 的主机名和域名。单击 Apply。

出现提示时，单击 Save > Yes。

用正确的日期、时间和时区配置 ASA。这对设备的证书生成过程很重要。如有可能，使用 NTP 服务器。

从导航窗格中单击 Device Administration > Clock。

在 Clock 窗口中，使用各个字段和下拉箭头设置正确的日期、时间和时区。

ASA 必须有自己的密钥对（私钥和公钥）。 公钥将发送到 Microsoft CA。

从导航窗格中单击 Certificate > Key Pair。

单击 Add 按钮，随后将显示 Add Key Pair 对话框。

选中 Name 区域的空白字段旁的单选按钮，然后键入密钥的名称。

单击下拉框旁的 Size:箭头以选择密钥的大小或接受默认值。

选中 Usage 下的 General Purpose 单选按钮。

单击 Generate Now 按钮以重新生成密钥并返回 Key Pair 窗口，从中可以查看密钥对的信息。

配置 Microsoft CA 以将其视为可信。从导航窗格中单击 Trustpoint > Configuration。

从 Configuration 窗口中单击 Add 按钮。

此时显示 Edit Trustpoint Configuration 窗口。

用 CA 的名称填写信任点的名称。

单击下拉框旁的 Key Pair:箭头，然后选择您所创建的密钥对的名称。

选中 Use automatic enrollment 单选按钮，然后输入 Microsoft CA 的 URL：http://CA_IP_Address/certsrv/mscep/mscep.dll。

单击 Crl Retrieval Method 选项卡。

取消选中Enable HTTP和Enable Lightweight Directory Access Protocol(LDAP)复选框。

选中启用简单证书注册协议(SCEP)复选框。将所有其他选项卡设置保留其默认设置。

单击 OK 按钮。

对 Microsoft CA 进行身份验证并注册到它。从导航窗格中单击 Certificate > Authentication。确定新创建的信任点显示在 Trustpoint Name:字段。单击 Authenticate 按钮。

此时将显示一个对话框，通知您已对该信任点进行过身份验证。单击 OK 按钮。

从导航窗格中单击 Enrollment。确保信任点名称显示在 Trustpoint Name 字段中，然后单击 Enroll 按钮。

此时将显示一个对话框，通知您已向 CA 发送了该请求。单击 OK 按钮。

注意：  在 Microsoft Windows 独立计算机上，必须对已提交给 CA 的任何请求都颁发证书。证书将处于挂起状态，直到在 Microsoft 服务器上右键单击该证书然后单击 issue 为止。

以下是从 ASDM 步骤得到的 CLI 配置：

使用本部分可确认配置能否正常运行。

检查和管理证书。

打开 ASDM 应用程序，然后单击 Configuration 按钮。

从左侧菜单中单击 Properties 按钮。

单击 Certificate。

单击 Manage Certificate。

在 ASA 上，可以在命令行中使用若干 show 命令以验证证书的状态。

命令show crypto ca certificates用于查看有关证书、CA证书和任何注册机构(RA)证书的信息。

命令 show crypto ca trustpoints 用于验证信任点配置。

命令 show crypto key mypubkey rsa 用于显示 ASA 的 RSA 公钥。

命令 show crypto ca crls 用于显示所有缓存的 CRL。

注意：输出解释器工具(仅注册客户)(OIT)支持某些show命令。使用 OIT 可查看对 show 命令输出的分析。

使用本部分可排除配置故障。

有关如何排除Microsoft Windows 2003 CA故障的详细信息 ，请参阅Windows Server 2003的公钥基础设施。

注意：使用debug命令可能会对Cisco设备造成负面影响。使用 debug 命令之前，请参阅有关 Debug 命令的重要信息。