Ruijie Networks—CA デジタル証明書の構成—ルーターによる証明書のオフライン申請

Ruijie#時計を表示

2003 年 3 月 6 日木曜日 05:01:40 UTC

注: 証明書には、失効リストや証明書の有効期間など、時間に関連付けられた属性が含まれるため、証明書を作成する前に、時間が同期されていることを確認する必要があります。

条件が許せば、NTP を設定することをお勧めします。

2. トラストポイントを設定して認証局を定義する

Internet(config)# crypto pki trustpoint ruijie //名前は ruijie です

Internet(ca-trustpoint)#revocation-check none     //失効リストをチェックしません

Internet(ca-trustpoint)# オフライン登録 // オフラインで証明書を申請する方法を定義します

に組み込まれる識別名 (DN) 情報の入力を求められます。

証明書リクエスト。かなりの数のフィールドがありますが、一部を空白のままにしても構いません       //オフライン証明書の DN 情報を設定します

共通名 (例: あなたの名前) []:tac                      //あなたの姓名

組織単位名 (セクションなど) []:tac //組織単位名

組織名 (例:会社) []:ruijie //あなたの会社

地域名 (例: 都市) []福州 //あなたの都市

州または省名 (フルネーム) []: 福建省 //あなたの省

国名 (2 文字コード) [CN]:CN //あなたの国コード

件名: cn=tac、ou=tac、o=ruijie、l=福州、st=福建、c=CN

正しいですか[はい/いいえ]:はい //DN 情報上記の[]オプションは任意に設定できます。

インターネット(ca-トラストポイント)#

3. ルート証明書を登録し、Request リクエストコードを生成して顧客に提出し、顧客はルーター証明書を提供します。

インターネット(構成) #crypto pki 登録 ruijie

汎用キーのキー係数のサイズを 384 ～ 2048 の範囲で選択します。

512 より大きいキー係数を選択するには、数分かかる場合があります。

モジュラスのビット数[1024]: //ここで Enter キーを押すことができます

%証明書のサブジェクト名には、cn=tac,ou=tac,o=1,l=1,st=1,c=3 が含まれます。

-----証明書リクエストの開始-----

MIIBfzCB6QIBADBAMQwwCgYDVQQDEwN0YWMxDDAKBgNVBAsTA3RhYzEKMAGGA1UE

ChMBMTEKMAGGA1UEBxMBMTEKMAGGA1UECBMBMTCBnzANBgkqhkiG9w0BAQEFAAOB

jQAwgYkCgyEAwyaNhZM2Jpu9f1Yl+6gLujobTHHS0Ut+dfVunk1ZKy8iPrKlnjEs

RU67g/dsj8bqvUGxw0Zv/aer4TwJTxS57SWBblaMiKBW87yHptBT6GbSG7N05kJ5

trb20NHERO3SLmQ9bKCuho5ah1Q55kUWFi8+rvn2H+xLf5inZIMHxv8CAwEAaAAA

MA0GCSqGSIb3DQEBBAUAA4GBAAsuOQKkav++74tzGtOjLSP6KZXTtMNVz0v6WPFx

t4zZMp9JYkV24rmCDkGwEityV+byP0q8TYW8x0a3LfJWrjpmfoHu5u0WAebs9qTt

OY4LTlnk3V/dQBUKJt5lnOeozTIzbbEl7UAV1hXc3eD5a0clcS7PB5NNqm/dQnMJ

r55w

-----証明書リクエストの終了-----

% PEM 形式の CA 証明書を入力します。

% 空白行で終了するか、行だけで「終了」します。

//ここで Enter を押してください。このステップは、上の赤い部分のリクエストのリクエストコードを取得するだけです。Enter キーを押すと、証明書のインポートが失敗したことを示すメッセージが表示されます。それは問題ではありません。

CA 証明書のデコードに失敗しました。

CA 証明書のインポートに失敗しました。

オフラインでの登録に失敗しました。

インターネット(構成))# crypto pki enroll ruijie

ルータには既に RSA キーペアがあり、

%% 新しい秘密キーを生成しますか?[はい/いいえ]:いいえ

%証明書のサブジェクト名には、cn=tac,ou=tac,o=1,l=1,st=1,c=3 が含まれます。

-----証明書リクエストの開始-----

MIIBfzCB6QIBADBAMQwwCgYDVQQDEwN0YWMxDDAKBgNVBAsTA3RhYzEKMAGGA1UE

ChMBMTEKMAGGA1UEBxMBMTEKMAGGA1UECBMBMTCBnzANBgkqhkiG9w0BAQEFAAOB

jQAwgYkCgyEAwyaNhZM2Jpu9f1Yl+6gLujobTHHS0Ut+dfVunk1ZKy8iPrKlnjEs

RU67g/dsj8bqvUGxw0Zv/aer4TwJTxS57SWBblaMiKBW87yHptBT6GbSG7N05kJ5

trb20NHERO3SLmQ9bKCuho5ah1Q55kUWFi8+rvn2H+xLf5inZIMHxv8CAwEAaAAA

MA0GCSqGSIb3DQEBBAUAA4GBAAsuOQKkav++74tzGtOjLSP6KZXTtMNVz0v6WPFx

t4zZMp9JYkV24rmCDkGwEityV+byP0q8TYW8x0a3LfJWrjpmfoHu5u0WAebs9qTt

OY4LTlnk3V/dQBUKJt5lnOeozTIzbbEl7UAV1hXc3eD5a0clcS7PB5NNqm/dQnMJ

r55w

-----証明書リクエストの終了-----

% PEM 形式の CA 証明書を入力します。

% 空白行で終了するか、単独の行で "quit" を指定します。 // 顧客が提供した CA ルート証明書を貼り付けます

-----証明書を開始-----

MIIDTzCCAjegAwIBAgIQN55wTyRR+5FLPBhQ7hYWDDANBgkqhkiG9w0BAQUFADA6

MRMwEQYKCZImiZPyLGQBGRYDY29tMRQwEgYKCZImiZPyLGQBGRYEY25jYzENMAsG

A1UEAxMEQ05DQzAeFw0xNTA0MjAwMTUxMTFaFw0yNTA0MjAwMjaAxMTBaMDoxEzAR

BgoJkiaJk/IsZAEZFgNjb20xFDASBgoJkiaJk/IsZAEZFgRjbmNjMQ0wCwYDVQQD

EwRDTkNDMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxCjE7U9YVzco

3Gm3nj1NiyqCFiUcj9eYMTV+Ma5SgcRbkZkQxBl1/OfnnJwrB3tolieWXjFOdVNc

h4Z0fSMzgFqjv0q4VXa9H7R+LoRKUYB07beQ33YdVu1AobpgpLFadzkg5gRYcvm/

xa0Z7LIVAZ3yR6zY4HwaevCUrdxn5PeUg77fVg2COWh1Esqw4sBxXhrCfFCWGmhY

b8n1q4WiHqjk/UB4C0o6bOrvJ93q/5RQqsj95xtLb1AXmbUT8DV8Roa9mm5YJT/b

BgvNNQijApuoRXK5pLIimU1Ie89vK7LlaetuePNsXr+mW7Ya9EsVRcbYJKKQ47vG

r9jIwrSe5QIDAQABo1EwTzALBgNVHQ8EBAMCAYYwDwYDVR0TAQH/BAUwAwEB/zAd

BgNVHQ4EFgQU/svlla2w9YaRIxYCw+JTCMRKuhEwEAYJKwYBBAGCNxUBBAMCAQAw

DQYJKoZIhvcNAQEFBQADggEBAHhFt+r4gTjZ7L1dxqDwnBOaGAESM/LoimjhNVG7

lgIbPHO7cMDbFj56yingkKSI/si8Y6TBwmPo9IhTHvNUh66pxEhxzs/8kPOJilFqq

xZLmmYInT1TJQoDWBr7gmsec3lmKL+2s8AgGnHa+PYWrodT+ZWCHLe7gZDjyjYRL

HSqmSJHp5QvRUg2DziXhqmoGrIxbXpOSynJSdXTTXHByj17dv6LRY09/6rxx/Uyi

PEO3q5PrQ3xPluBfNnaTGpEVAK+i64TDVNPuM9y2ULRWRP/mWACw7y8uSv0fpr7Q

HkNaxXcbzuUvWmWEGkuKDBf45Qg5a3Gvr+Ua++O935lDzOU=

-----証明書終了-----

終了 //終了と入力してください

証明書には次の属性があります。

MD5 フィンガープリント: 90AD60A5 DFEA40D0 1F97E9BD 6CA8589F

SHA1 フィンガープリント: 6848FBC4 CF53FA89 BE239913 5F705F2E 239A3850

%% この証明書を受け入れますか?[はい/いいえ]:y

% CA 証明書が正常に読み取られました

%% すべての CA 証明書がインポートされました?[はい/いいえ]: y

% PEM 形式の証明書を入力します。 // 顧客が提供したルーター証明書の貼り付けを開始するよう求めるプロンプトが表示されます

% 空白行で終了するか、行だけで「終了」します。

- ----証明書を開始-----

MIIDkTCCAnmgAwIBAgIKI5QMNwAAAAACKzANBgkqhkiG9w0BAQUFADA6MRMwEQYK

CZImiZPyLGQBGRYDY29tMRQwEgYKCZImiZPyLGQBGRYEY25jYzENMAsGA1UEAxME

Q05DQzAeFw0xNTExMDMwNzM5NDlaFw0xNjExMDMwNzQ5NDlaMFsxCzAJBgNVBAYT

AkNOMRawDgYDVQQIEwdiZWlqaW5nMRawDgYDVQQHEwdiZWlqaW5nMQwwCgYDVQQK

EwNhYmMxDDAKBgNVBASTA2FiYzEMMAoGA1UEAxMDYWJjMIGfMA0GCSqGSIb3DQEB

AQUAA4GNADCBiQKBgQCuo1ySdhYkgslH+iu1dSXtNKenEKgJ90qPzPKb6jsc35Rs

mO9Pj/H8zj9WAnoiAYuugyHcyAqQ8EguzV9q+bCebB6pCglpRl1sEGumXj5WJUUP

cgxZNyuOCq561TX3CR/HyEO05xWKQcSfjFZNOJG5DlDRCWeuwT+oVYKGLRNuNwiID

AQABo4H7MIH4MB0GA1UdDgQWBBTVuwmuQSp8yd77A7h22q7lc65F+jAfBgNVHSME

GDAWgBT+y+WVrbD1hpEjFgLD4lMIXEq6ETA7BgNVHR8ENDAyMDCgLqアシップマWxl

Oi8vV0lOLUFRSzFDN0czMTlWL0NlcnRFbnJvbGwvQ05DQy5jcmwwVgYIKwYBBQUH

AQEESjBIMEYGCCsGAQUFBzAChjpmaWxlOi8vV0lOLUFRSzFDN0czMTlWL0NlcnRF

bnJvbGwvV0lOLUFRSzFDN0czMTlWX0NOQ0MuY3J0MCEGCSsGAQQBgjcUAgQUhia

VwBlagiauwBLAHIAdgBLAHIwDQYJKoZIhvcNAQEFBQADggEBABLTyq2tAkpJMsgJ

Frfkh2QBgA6DCsFN5kDk4Fps15TrGfQSZf+xgKSBRNNrSQP0Y/X/Gke8rEugv55Q

C/LsuWrKQHKadfptU4J4tvsc2WhIgLPzdvUKZqqeB4ySbAjJTQ2FSXvgDvyDdlQr

68URrT7ji5ghm+596Dz+xLtIfX7b55gXSfZLHDhI1ISojOtgL4D2JWFUkv1CKvHJ

N1YAj8UfzmKnQQDcNS1eFRQ1GddwfuD6pJ0KdSEPYG4iBCFAmqc/6YByFOVgx+Jl

s2Jrrt9/MpQ3VKhBgOnCjgBiaIDagZGR3AVZBZ9fXvfiCcy6DOm87k1ZvvV56fbs

pEjQgHM=

-----証明書終了-----

quit //終了するには「quit」と入力します。

ルーター証明書が正常にインポートされた%

5. 証明書の有効性と時間のチェックを無視するように構成します (オプション)

crypto pki trustpoint ruijie //証明書の対応するトラストポイントを入力します

time-check none //証明書の時刻チェックをオフにする

revocation-check none //証明書が失効しているかどうかをチェックしません

知らせ：

1. RSR10-02 デバイスにはクロックチップがありません。停電後、時刻は 1970-01-01 に初期化され、デジタル証明書に基づく IPSEC VPN ネゴシエーションが失敗します。NTP 時刻同期を設定するかタイムアウトする必要があります。 -check は証明書暗号 pki トラストポイント XX モードで設定する必要があります。時間チェックをオフにするには none を指定します。

2. デジタル証明書をオンラインで申請しないすべての 3G クライアントは、デバイスが CA サービスのドメイン名アドレスを解決できない場合を除き、crypto pki trustpoint XX モードで失効チェックを設定してデバイスの CRL チェックをオフにする必要があります。