Gå til indhold
Dokumentation sslbrain sslbrain.com

Cisco Secure Firewall (FMC)

Kopiér link til siden “Cisco Secure Firewall (FMC)”

← Alle integrationer

Firewall og VPN

Fornyer identitetscertifikater til RA VPN og known-key-certifikater til dekryptering på FTD-enheder styret af Cisco FMC.

Appliancen kører pakken og forbinder til Cisco Secure Firewall (FMC) gennem FMC REST API over HTTPS på port 443. Der installeres ingen agent på Cisco Secure Firewall (FMC).

Sådan forløber det

  1. Appliancen forbinder til Cisco Secure Firewall (FMC) gennem FMC REST API på port 443.
  2. Til RA VPN importeres certifikatet som en ny PKCS12-certificate enrollment og installeres på præcis de enheder, politikken er tildelt. Til dekryptering oprettes et internal certificate med den interne servers nye certifikat og nøgle.
  3. Kun den valgte politiks referencer flyttes til det nye certifikat, og kun dens enheder udrulles. Har en af enhederne ændringer, der ikke er udrullet, stopper pakken uden at skrive, fordi REST API'et altid udruller alle ventende ændringer på en enhed. Hvis det fejler: Fejler udrulningen, eller svarer en RA VPN-adresse, der svarede før, ikke længere, sætter pakken det forrige certifikat tilbage og udruller igen i samme kørsel.
  4. Kontrol: pakken henter det certifikat, RA VPN-adresserne viser over TLS med certifikatets navn som SNI, og sammenligner SHA-256-fingeraftrykket med det nye certifikat. Hvis det fejler: Kan appliancen ikke nå RA VPN-adresserne, meldes resultatet med en advarsel ud fra konfiguration og udrulning.

Tekniske detaljer

Forbindelse
Pakken kører på appliancen, som forbinder over HTTPS til FMC REST API, port 443. Der installeres ingen agent.
I skal bruge
En dedikeret REST API-bruger i Management Center med rettighed til certifikater, VPN, politikker og udrulning. Brug ikke en konto, der også logger ind i webinterfacet: Management Center logger den ene session ud uden varsel. Brugernavn og adgangskode sendes kun i login-headeren, og sessionen lukkes efter hver kørsel.
Platform
Secure Firewall Threat Defense styret centralt af Secure Firewall Management Center 7.4 eller nyere
Handlinger
Discovery, Installation, Kontrol, Rollback
Pakker
cisco-fmc-api
Bemærk
  • Management Center 7.7 og nyere: RA VPN fornyes. 7.4 og 7.6: dekryptering (known key) fornyes, og RA VPN vises i discovery, fordi REST API'et først fra 7.7 kan installere et certifikat på en enhed. Pakken vælger vej ud fra, hvad API'et tilbyder.
  • Før noget ændres, sammenligner pakken det certifikat, RA VPN-adresserne viser, med det certifikat Management Center og enhederne har registreret. Er tilstanden ikke entydig, ændres intet, og resultatet indeholder en log uden nøgler og adgangskoder, som kan deles med support.
  • Bruger politikken en enrollment, som Management Center selv fornyer (ACME, SCEP eller EST), overtager sslbrain certifikatet for netop den valgte politik, når I vælger politikken som mål; der er ingen ekstra indstilling. Enrollment-objektet og dets enhedscertifikater bevares uændret, og andre politikker, der bruger det, fortsætter uændret. Dets senere fornyelser rammer ikke længere den valgte politik. Resultatet nævner, hvilken enrollment der blev erstattet, og rollback peger politikken tilbage på den.
  • Det forrige certifikat slettes og ændres ikke; det er det, rollback og den automatiske tilbagerulning bruger. Rollback peger politikken tilbage, kun mens den stadig peger på det, deploy satte, og udruller de samme enheder, kun hvis der ikke er andres ventende ændringer på dem.
  • Ved dekryptering beholder known-key-reglen også det forrige certifikat, så trafikken til serveren dekrypteres både før og efter, at serveren skifter certifikat. Pakkens egne ældre certifikater til de samme servernavne tages ud af reglen; certifikater til andre servere bliver. Udrulningen går til enhederne for de access control policies, der bruger dekrypteringspolitikken.
  • Forbindelsen til Management Center verificeres altid mod systemets trust store, et CA-bundle eller et fingeraftryk i MANAGEMENT_TLS_PIN_SHA256; har Management Center sit eget certifikat, pinnes det. En forbindelse uden verifikation afvises, fordi pakken sender konto og private nøgler. Når RA VPN nås gennem NAT, angives adresserne til kontrollen i FMC_SERVICE_HOSTS; ellers bruges de faste adresser på enhedernes access interfaces.
  • Discovery finder Management Centers version og domæner, RA VPN-politikker med identitetscertifikat, enrollment-type og tildelte enheder, det certifikat hver RA VPN-adresse viser, og certifikaterne i dekrypteringspolitikkernes known-key-regler.

Krav til certifikatet

Nøgletyper: RSA 2048, 3072 eller 4096 bit og ECDSA P-256 eller P-384. Threat defense 7.0 og nyere afviser RSA-nøgler under 2048 bit og SHA-1-signaturer. Pakken installerer ikke P-521 eller EdDSA. Cisco angiver ingen maksimal RSA-størrelse for en importeret PKCS12-fil.

Cisco angiver intet krav om Common Name (CN): Cisco Secure Client kontrollerer navnet mod SAN, når der er DNS-navne (og IP-adresser, når klienten forbinder til en IP), og bruger kun CN uden dem. Pakken afviser derfor ikke certifikater uden CN, fx fra Let's Encrypts tlsserver- eller Googles minimal-profil. Et wildcard skal udgøre hele det første label (*.example.com). IP-SAN understøttes. Cisco angiver intet maksimalt antal SAN.

clientAuth EKU kræves ikke. Har certifikatet Key Usage, skal den indeholde digitalSignature, og et RSA-certifikat skal også have keyEncipherment eller keyAgreement; til IPsec skal en EKU indeholde serverAuth eller ikeIntermediate. Et RSA-certifikat fra en profil uden keyEncipherment (fx tlsserver eller minimal) afvises til RA VPN, før noget ændres; brug ECDSA med de profiler. Til dekryptering gælder kravet ikke.

Appliancen leverer certifikat, kæde og nøgle som PEM. Til RA VPN bygger pakken en PKCS12-fil med servercertifikat, intermediates og nøgle, krypteret med PBE-SHA1-3DES og SHA-1-MAC, som Cisco angiver for threat defense, også i FIPS-tilstand; AES-256 kan vælges. Filen må højst være 24 KB. Til dekryptering sendes certifikat og nøgle som PEM. JKS bruges ikke.

Kæden leveres med nærmeste udsteder først; servercertifikatet står først i PKCS12-filen. En selvsigneret root udelades.

Navnet på enrollment bliver trustpoint-navnet på enhederne: <navn>-<de første 12 hex af SHA-256>, hvor navnet er 1–32 tegn (bogstaver, cifre, - og _, første tegn et bogstav) og som standard sslbrain. Cisco angiver ingen navneregel for enrollments i de kilder, pakken bygger på. PKCS12-filens friendly name er sslbrain.

Certifikatet skal udløbe før 6-2-2106. Cisco angiver ingen minimums- eller maksimumslevetid.

Kom i gang