Gå til indhold
Dokumentation sslbrain sslbrain.com

Cisco ASA / ASAv

Kopiér link til siden “Cisco ASA / ASAv”

← Alle integrationer

Firewall og VPN

Fornyer certifikatet til AnyConnect/Secure Client VPN og ASDM på det valgte ASA-interface med TLS-kontrol og rollback.

Appliancen kører pakken og styrer Cisco ASA / ASAvs kommandolinje over SSH på port 22. Der installeres ingen agent på enheden.

Sådan forløber det

  1. Appliancen forbinder til Cisco ASA / ASAvs kommandolinje over SSH, port 22.
  2. Discovery sammenholder det serverede SHA256-fingeraftryk med ASA-trustpointet. I vælger interface og hele den fælles VPN/ASDM-binding; administrationsadressen er ikke nødvendigvis VPN-adressen. Hvis det fejler: Ved tvetydig tilstand ændres intet; loggen viser den offentlige tilstand, der skal afklares.
  3. Agenten gemmer en privat recovery-journal på appliancen, beholder det tidligere trustpoint og importerer PEM-certifikat, nøgle og kæde som PKCS#12 i et nyt trustpoint. Den kontrollerer importens identitet før binding. Hvis det fejler: En afvist import efterlader den tidligere binding.
  4. Kun den valgte ssl trust-point-binding skiftes. Alle tilknyttede VPN/ASDM-lyttere kontrolleres med TLS-handshake, SNI, kæde og det nye fingeraftryk, før write memory gemmer konfigurationen; startup-bindingen læses tilbage. Hvis det fejler: Ved fejl gendannes den tidligere identitet, hvis bindingen stadig tilhører kørslen; ændringer fra en administrator bevares. Et mislykket recovery-resultat indeholder journalens reference.

Tekniske detaljer

Forbindelse
Pakken kører på appliancen, som forbinder over SSH, port 22. Der installeres ingen agent.
Tjenestens porte
443
I skal bruge
ASA-administrator med adgang til certifikater, ssl trust-point og write memory. SSH kræver en kendt eller pinnet host key; REST kræver CA/navnekontrol eller et eksplicit SHA256-certifikatpin. Appliancen skal kunne nå alle valgte TLS-tjenester med deres DNS/SNI-navn.
Platform
ASA OS 9.x / ASAv, single context og aktiv enhed
Handlinger
Discovery, Installation, Kontrol, Rollback
Pakker
cisco-asa 1.0.0
Bemærk
  • cisco-asa 1.0.0 er en kandidat til signering og er endnu ikke publiceret i agentkataloget.
  • Auto bruger SSH/CLI på ASA 9.x; ASA 9.17+ og andre modeller bruger SSH. Den eksisterende legacy REST API 1.3.1+ kan vælges på dokumenterede modeller, inklusive ASAv, med ASA 9.3(2)–9.16 over HTTPS 443. Discovery afgør version og kanal før writes; TLS-fejl omgås ikke med en anden kanal, og en write gentages ikke via SSH. REST installeres eller aktiveres ikke. Appliancen kører Bash/Python med cryptography 42+ og Paramiko.
  • En domain-, VPN-load-balancing- eller fallback-binding kan deles af flere interfaces og af VPN og ASDM. Discovery viser hele det berørte scope. Når I vælger bindingen, overtager sslbrain certifikatstyringen for den service og skifter en automatisk styret identitet til et nyt manuelt trustpoint. Der er intet ekstra valg. Tidligere enrollment, nøgler og ikke-valgte bindinger beholdes; resultatet beskriver overtagelsen, og rollback gendanner den oprindelige binding, når dens gemte identitet og scope stadig matcher. Senere konflikter bevares.
  • write memory gemmer hele ASA-enhedens running configuration, også andre ventende ændringer. Koordinér derfor gemning med administratoren. Bevar appliancens private recovery-journal til senere rollback. ASA-auditlogs kan indeholde importmateriale; behold auditing og begræns adgang til disse logs.
  • Discovery gemmer den fulde offentlige målbeskrivelse på appliancen og viser et kort mål-id. Bevar discovery-data og recovery-journalen til deploy, verify og rollback. Ved pinning af REST-management bruger verify og rollback de validerede journal-pins; opdatér MANAGEMENT_TLS_PIN_SHA256 til det nye rapporterede fingeraftryk før næste discovery.

Krav til certifikatet

Agentens nøglevalg er RSA 2048, 3072 eller 4096 bit og ECDSA P-256 eller P-384. ASA 9.18 dokumenterer disse RSA-størrelser og EC 256/384/521 til generering; P-521 er ikke et nøglevalg i agenten. Generering fastslår ikke import- eller TLS-grænser: RSA 4096 afhænger af den valgte ASA-version og tjeneste (CSCut53512). Cisco angiver ikke et universelt importmaksimum i de citerede kilder. Fra 9.16(1) kræver svage RSA-nøgler et override, som agenten ikke aktiverer.

Certifikatet skal dække alle valgte DNS/SNI-navne i SAN. Agenten kræver ikke CN og bruger ikke CN som erstatning for SAN i nye certifikater. De citerede ASA-kilder fastslår ikke et CN-krav eller en generel SAN-only/empty-subject-grænse for alle 9.x-versioner; importens identitet kontrolleres før binding. Vælg udstedelsesprofil efter de valgte VPN-klienter.

Secure Client 5.1 accepterer fraværende KU/EKU. Hvis KU findes, kræves digitalSignature; RSA kræver også keyEncipherment eller keyAgreement, mens ECDSA ikke har dette ekstra RSA-krav. En RSA tlsserver/minimal-profil med kun digitalSignature passer derfor ikke til denne klientregel. En angivet EKU skal tillade serverAuth. clientAuth kræves ikke af denne agent til TLS-serveridentiteten; klient- og IKEv2-certifikater har andre roller.

Cisco beskriver wildcard/UCC og flere SAN-navne. Agenten bruger DNS-wildcard-matchning og typet IPAddress SAN til IP-mål; SNI bruger et DNS-navn. De citerede kilder fastsætter ikke et maksimalt SAN-antal eller en universel IP-SAN-importgrænse. Agenten indfører ikke en numerisk SAN-grænse.

Input er PEM-servercertifikat, tilhørende ukrypteret PEM-nøgle og issuing chain. Agenten danner passwordbeskyttet PKCS#12/PFX med eksplicit 3DES til nøgle og certifikat samt SHA1 MAC. Det er agentens kompatibilitetsformat; den bruger ikke RC2. Kilderne angiver ikke en ASA-versionsgrænse for AES/PBES2-import. DER og JKS er ikke inputformater.

Send de nødvendige intermediates fra servercertifikatets issuer opad. Agenten validerer kædens links og udelader en medsendt self-signed rod fra importens serverkæde; TLS-klientens trust store skal stole på roden. Cisco tillader en valgfri CA-kæde i PKCS#12, men fastsætter ikke universel bag-rækkefølge eller et rodkrav i disse kilder.

ASA-trustpointnavne må være op til 128 tegn. Agenten genererer et kort sslbrain-navn med ASCII-bogstaver, tal og bindestreg og bruger det som PFX friendly name; I skal ikke vælge alias. Cisco fastsætter ikke en obligatorisk friendly name eller aliasregel i de citerede kilder. Tidligere nøgler slettes ikke efter navnelighed.

Certifikatet og kæden skal være gyldige nu. Cisco anbefaler notAfter før 2038-01-19 03:14:08 UTC også for importerede certifikater. De citerede kilder fastsætter ikke en mindste resterende levetid eller numerisk maksimal gyldighedsperiode; agenten indfører ikke sådanne varighedsgrænser.

Kom i gang