Aruba/HPE ClearPass
Kopiér link til siden “Aruba/HPE ClearPass”
Fornyer HTTPS- og RADIUS/EAP-certifikater på de ClearPass-noder og roller, I vælger. Bevarer andre tjenester.
Sådan forløber det
- Appliancen forbinder til Aruba/HPE ClearPass gennem ClearPass Policy Manager REST API på port 443.
- Discovery sammenholder fingeraftrykket fra tjenesten med certifikatet i den valgte nodes rolle. HTTPS(RSA) og HTTPS(ECC) undersøges hver for sig. Et entydigt match og en backup med den matchende private nøgle skal være på plads før en ændring. Hvis det fejler: Er node eller rolle ikke entydig, ændres intet. Resultatet angiver, hvilke oplysninger der mangler, uden nøgler, adgangskoder eller konfigurationsudtræk.
- Pakken importerer certifikat, nøgle og intermediates som krypteret PKCS#12 til de valgte roller. ClearPass henter filen fra en midlertidig adresse, hvor kun clusterets noder har adgang. Andre certifikatroller bevares.
- Kontrollen læser rollen igen og henter det serverede certifikat. HTTPS bruger TLS med SNI og kontrol af den valgte RSA- eller EC-rolle. RADIUS bruger en autentificeret EAP-TLS-, TTLS- eller PEAP-udveksling med korrelerede svar og verificerer EAP-serverens TLS-identitet; den gennemfører ikke klientlogin. Hvis det fejler: Fejl under import eller kontrol udløser automatisk rollback af berørte roller i omvendt rækkefølge. En senere administratorændring bevares; resultatet fortæller, hvis en rolle ikke kunne gendannes.
Tekniske detaljer
- Forbindelse
- Pakken kører på appliancen, som forbinder over HTTPS til ClearPass Policy Manager REST API, port 443. Der installeres ingen agent.
- Tjenestens porte
- 443, 1812
- I skal bruge
- OAuth client ID og secret med adgang til cluster-, certifikat- og extension-inventar samt import for de valgte roller. Oplys direkte nodeadresser og tjenestenavne. Ved første overtagelse angives en krypteret PKCS#12-backup med det nuværende certifikat og den tilhørende private nøgle; efterfølgende fornyelser bruger pakkens beskyttede backup på appliancen. RADIUS kræver desuden en tilladt RADIUS-klient, shared secret og de routingoplysninger, jeres EAP-politik bruger.
- Platform
- ClearPass Policy Manager med REST API til servercertifikater pr. node og rolle. API-formater er dokumenteret for 6.11 og 6.14.1; discovery vælger efter de funktioner, systemet stiller til rådighed.
- Handlinger
- Discovery, Installation, Kontrol, Rollback
- Pakker
-
aruba-clearpass-api - Bemærk
-
- aruba-clearpass-api 1.0.0 er en signeringskandidat. Installation kræver den signerede pakke og en signeret deploy-agent-liste, der indeholder versionen. Signering og publicering håndteres separat.
- TLS kontrollerer CA og servernavn eller et udtrykkeligt SHA-256-fingeraftryk for hele certifikatet. OAuth-oplysninger og private nøgler kommer ikke i URL, kommandolinje eller delbare resultater. Appliancen skal kunne nå hver valgt node direkte, og noderne skal kunne hente den krypterede importfil.
- Certificate Enrollment Manager (CEM) kan forny én rolle på tværs af clusteret. Når de valgte mål dækker hele den pågældende CEM-instans, overtager pakken via dens expiry-only-indstilling og genindlæser instansen. Delvis dækning uden en understøttet afgrænsning ændres ikke. CEM slettes aldrig, og andre instanser og tjenester bevares. Rollback gendanner de berørte fornyelsesindstillinger og instansens driftstilstand, mens senere administratorændringer bevares.
- RADIUS service-certifikat-overrides bevares. Deler et override fingeraftryk med standardrollen, skal tilknytningen afklares før ændring. Et HTTPS- eller RadSec-certifikat er ikke dokumentation for det certifikat, EAP viser. Server_name følger jeres portalnavn eller klienternes EAP-tillidspolitik og bruger nodeadressen som standard.
- Rollback bruger bevarede beskyttede backups eller den angivne backup fra første overtagelse. Gendannes kun fornyelsesindstillinger, er hverken certifikatbackup eller filserver nødvendig. Gamle krypterede filer bevares under aktivering og gendannelse; den midlertidige filserver lukkes derefter. Et mistet importsvar afklares med ny læsning og observation, uden at gentage importen.
- Pakken gemmer de oprindelige backups og senere administrerede certifikater som krypteret PKCS#12 i en privat mappe på appliancen. CERTOPS_BACKUP_DIR kan vælge en anden mappe end ~/.sslbrain/aruba-clearpass-backups. Bevar mappen i appliance-backup; den indeholder beskyttede adgangsoplysninger og skal være privat. Valgte certifikatpins føres videre ved verificerede fornyelser inden for den oprindelige forbindelse og målvalg. RADIUS-prober kan ses som uafsluttede sessioner i Access Tracker.
Krav til certifikatet
ClearPass har separate HTTPS(RSA)- og HTTPS(ECC)-roller samt et RADIUS/EAP-servercertifikat pr. node. Nøglevalgene til agenten er RSA 2048, 3072 eller 4096 bit og ECDSA P-256 eller P-384. API’ets CSR-menu omfatter også EC 521 bit; 4096 og 521 er de største dokumenterede CSR-valg, ikke dokumenterede maksimumstørrelser for eksternt importerede nøgler. ClearPass 6.11’s evaluerede TLS-konfiguration beskriver RSA 2048/3072/4096 og EC P-256/P-384. De offentlige importkilder angiver ikke en generel minimums- eller maksimumsstørrelse for hver rolle.
Common Name (CN) er påkrævet ved oprettelse af en CSR i ClearPass. Kilderne fastslår ikke, om CN er påkrævet ved import af et eksternt udstedt servercertifikat. Kompatibilitet med CN-løse ACME-profiler som tlsserver og minimal er derfor ikke dokumenteret. Brug SAN-navne, der passer til gæsteportalens værtsnavn og klienternes EAP-servervalidering.
Brug et servercertifikat til servergodkendelse (serverAuth EKU). De kontrollerede importkilder angiver ikke et obligatorisk clientAuth EKU eller keyEncipherment KU for HTTPS- eller RADIUS/EAP-servercertifikatet. CEM-guidens clientAuth-krav gælder certifikatet, der autentificerer EST-klienten mod udstederen, og skal ikke overføres til servercertifikatet. EAP-klienternes egne krav gælder også; fraværet af et offentliggjort importkrav er ikke en garanti for alle klienter eller minimal-profiler.
Aruba fraråder wildcard i CN og EV-certifikater til RADIUS/EAP, fordi nogle klienter ikke kan autentificere med dem. Det er en anbefaling, ikke et dokumenteret importforbud. CEM kan oprette DNS- og IP-SAN; de kontrollerede kilder angiver ingen maksimal SAN-mængde eller generel regel for IP-SAN ved ekstern import. HTTPS-navne og EAP-servernavne skal passe til den valgte tjeneste og klienternes opsætning.
ClearPass 6.12’s importdialog accepterer et certifikat med gemt nøgle, en PKCS#12-fil (.pfx/.p12) eller separate certifikat- og nøglefiler. P7b Base64-kæder understøttes ikke til HTTPS eller RADIUS/EAP. Rolle-API’et i de kontrollerede 6.11- og 6.14.1-definitioner henter certifikat eller PKCS#12 fra en URL; nye eksterne nøgler leveres i PKCS#12 med en adgangskode. Dialogen angiver ikke PEM/DER-grænser, og JKS-import er ikke dokumenteret.
Der er ikke offentliggjort en versionsopdelt importregel for PFX-kryptering med AES versus 3DES/RC2 i de kontrollerede kilder. Et legacy-eksempel dokumenterer ikke et forbud mod AES. API’et sender PFX-adgangskoden i anmodningens body. 6.12-guiden angiver cluster-adgangskoden ved PKCS#12-import i en cluster; kilderne fastslår ikke, at en vilkårlig adgangskode virker på alle cluster-versioner. Staging-URL’en må ikke indeholde login, token eller adgangskode.
Lever servercertifikatet med den matchende private nøgle og de nødvendige intermediates. Importkilderne angiver ikke en bestemt kæderækkefølge eller obligatorisk rodinklusion. Agentens pakning kan bruge servercertifikat først og derefter intermediates mod udstederen; det er ikke et dokumenteret ClearPass-krav. En servercertifikat-eksport i PKCS#12 indeholder certifikatet, intermediates og den private nøgle. Certifikatets API-readback indeholder ikke en dokumenteret privat nøgle til rollback.
Rolle-API’et vælger destination via node-UUID og rollenavn. De kontrollerede kilder angiver ingen krav til PFX-friendly name eller alias, heller ikke tegn eller maksimal længde. Et JKS-alias skal ikke tilføjes som et ClearPass-krav.
Brug et certifikat, der er gyldigt på installationstidspunktet. De kontrollerede kilder angiver ingen ClearPass-grænse for minimums- eller maksimumslevetid ved ekstern import. Offentlige CA’ers regler og klienternes validering gælder separat; de skal ikke beskrives som en importgrænse i ClearPass.