Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Cisco Secure Firewall (FMC)

Kopiera länk till sidan “Cisco Secure Firewall (FMC)”

← Alla integrationer

Brandvägg och VPN

Förnyar identitetscertifikat för RA VPN och known key-certifikat för dekryptering på FTD-enheter som hanteras av Cisco FMC.

Appliancen kör paketet och ansluter till Cisco Secure Firewall (FMC) genom FMC REST API över HTTPS på port 443. Ingen agent installeras på Cisco Secure Firewall (FMC).

Så går det till

  1. Appliancen ansluter till Cisco Secure Firewall (FMC) genom FMC REST API på port 443.
  2. För RA VPN importeras certifikatet som en ny PKCS12-certificate enrollment och installeras på exakt de enheter som policyn är tilldelad. För dekryptering skapas ett internal certificate med den interna serverns nya certifikat och nyckel.
  3. Bara den valda policyns referenser flyttas till det nya certifikatet, och bara dess enheter rullas ut. Har någon av enheterna ändringar som inte är utrullade stoppar paketet utan att skriva, eftersom REST API:et alltid rullar ut alla väntande ändringar på en enhet. Om det misslyckas: Misslyckas utrullningen, eller svarar en RA VPN-adress som svarade innan inte längre, sätter paketet tillbaka det tidigare certifikatet och rullar ut igen i samma körning.
  4. Kontroll: paketet hämtar certifikatet som RA VPN-adresserna visar över TLS med certifikatets namn som SNI och jämför SHA-256-fingeravtrycket med det nya certifikatet. Om det misslyckas: Kan appliancen inte nå RA VPN-adresserna rapporteras resultatet med en varning utifrån konfiguration och utrullning.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över HTTPS till FMC REST API, port 443. Ingen agent installeras.
Ni behöver
En dedikerad REST API-användare i Management Center med behörighet till certifikat, VPN, policyer och utrullning. Använd inte ett konto som också loggar in i webbgränssnittet: Management Center loggar ut den ena sessionen utan förvarning. Användarnamn och lösenord skickas bara i inloggningens header, och sessionen stängs efter varje körning.
Plattform
Secure Firewall Threat Defense som hanteras centralt av Secure Firewall Management Center 7.4 eller senare
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
cisco-fmc-api
Observera
  • Management Center 7.7 och senare: RA VPN förnyas. 7.4 och 7.6: dekryptering (known key) förnyas, och RA VPN visas i discovery, eftersom REST API:et först från 7.7 kan installera ett certifikat på en enhet. Paketet väljer väg utifrån vad API:et erbjuder.
  • Innan något ändras jämför paketet certifikatet som RA VPN-adresserna visar med det certifikat som Management Center och enheterna har registrerat. Är läget inte entydigt ändras inget, och resultatet innehåller en logg utan nycklar och lösenord som kan delas med support.
  • Använder policyn en enrollment som Management Center själv förnyar (ACME, SCEP eller EST) tar sslbrain över certifikatet för just den valda policyn när ni väljer policyn som mål; det finns ingen extra inställning. Enrollment-objektet och dess enhetscertifikat behålls oförändrade, och andra policyer som använder det fortsätter oförändrade. Dess senare förnyelser når inte längre den valda policyn. Resultatet anger vilken enrollment som ersattes, och rollback pekar policyn tillbaka på den.
  • Det tidigare certifikatet tas inte bort eller ändras; det är det som rollback och den automatiska återställningen använder. Rollback pekar policyn tillbaka bara medan den fortfarande pekar på det som deploy satte, och rullar ut samma enheter, bara om det inte finns andras väntande ändringar på dem.
  • Vid dekryptering behåller known key-regeln också det tidigare certifikatet, så trafiken till servern dekrypteras både före och efter att servern byter certifikat. Paketets egna äldre certifikat för samma servernamn tas bort ur regeln; certifikat för andra servrar blir kvar. Utrullningen går till enheterna för de access control policies som använder dekrypteringspolicyn.
  • Anslutningen till Management Center verifieras alltid mot systemets trust store, ett CA-bundle eller ett fingeravtryck i MANAGEMENT_TLS_PIN_SHA256; har Management Center ett eget certifikat pinnas det. En anslutning utan verifiering avvisas, eftersom paketet skickar konto och privata nycklar. När RA VPN nås genom NAT anges adresserna för kontrollen i FMC_SERVICE_HOSTS; annars används de fasta adresserna på enheternas access interfaces.
  • Discovery hittar Management Centers version och domäner, RA VPN-policyer med identitetscertifikat, enrollment-typ och tilldelade enheter, certifikatet som varje RA VPN-adress visar, och certifikaten i dekrypteringspolicyernas known key-regler.

Krav på certifikatet

Nyckeltyper: RSA 2048, 3072 eller 4096 bitar och ECDSA P-256 eller P-384. Threat defense 7.0 och senare avvisar RSA-nycklar under 2048 bitar och SHA-1-signaturer. Paketet installerar inte P-521 eller EdDSA. Cisco anger ingen största RSA-storlek för en importerad PKCS12-fil.

Cisco anger inget krav på Common Name (CN): Cisco Secure Client kontrollerar namnet mot SAN när det finns DNS-namn (och IP-adresser när klienten ansluter till en IP) och använder bara CN utan dem. Paketet avvisar därför inte certifikat utan CN, till exempel från Let's Encrypts tlsserver- eller Googles minimal-profil. Ett wildcard ska utgöra hela den första etiketten (*.example.com). IP-SAN stöds. Cisco anger inget största antal SAN.

clientAuth EKU krävs inte. Har certifikatet Key Usage ska den innehålla digitalSignature, och ett RSA-certifikat ska också ha keyEncipherment eller keyAgreement; för IPsec ska en EKU innehålla serverAuth eller ikeIntermediate. Ett RSA-certifikat från en profil utan keyEncipherment (till exempel tlsserver eller minimal) avvisas för RA VPN innan något ändras; använd ECDSA med de profilerna. För dekryptering gäller kravet inte.

Appliancen levererar certifikat, kedja och nyckel som PEM. För RA VPN bygger paketet en PKCS12-fil med servercertifikat, intermediates och nyckel, krypterad med PBE-SHA1-3DES och SHA-1-MAC, som Cisco anger för threat defense, även i FIPS-läge; AES-256 kan väljas. Filen får vara högst 24 KB. För dekryptering skickas certifikat och nyckel som PEM. JKS används inte.

Kedjan levereras med närmaste utfärdare först; servercertifikatet står först i PKCS12-filen. En självsignerad root utelämnas.

Namnet på enrollment blir trustpoint-namnet på enheterna: <namn>-<de första 12 hex av SHA-256>, där namnet är 1–32 tecken (bokstäver, siffror, - och _, första tecknet en bokstav) och som standard sslbrain. Cisco anger ingen namnregel för enrollments i de källor paketet bygger på. PKCS12-filens friendly name är sslbrain.

Certifikatet ska gå ut före 6-2-2106. Cisco anger ingen minsta eller största livslängd.

Kom igång