Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Cisco ASA / ASAv

Kopiera länk till sidan “Cisco ASA / ASAv”

← Alla integrationer

Brandvägg och VPN

Förnyar certifikatet för AnyConnect/Secure Client VPN och ASDM på valt ASA-gränssnitt med TLS-kontroll och rollback.

Appliancen kör paketet och styr Cisco ASA / ASAvs kommandorad över SSH på port 22. Ingen agent installeras på enheten.

Så går det till

  1. Appliancen ansluter till Cisco ASA / ASAvs kommandorad över SSH, port 22.
  2. Discovery jämför det serverade SHA256-fingeravtrycket med ASA-trustpointet. Ni väljer gränssnitt och hela den gemensamma VPN/ASDM-bindningen; administrationsadressen är inte alltid VPN-adressen. Om det misslyckas: Vid tvetydigt tillstånd ändras inget; loggen visar vilket offentligt tillstånd som behöver klarläggas.
  3. Agenten sparar en privat återställningsjournal på appliancen, behåller det tidigare trustpointet och importerar PEM-certifikat, nyckel och kedja som PKCS#12 i ett nytt trustpoint. Den kontrollerar importens identitet före bindning. Om det misslyckas: En avvisad import lämnar den tidigare bindningen kvar.
  4. Endast den valda ssl trust-point-bindningen ändras. Alla anslutna VPN/ASDM-lyssnare kontrolleras med TLS-handshake, SNI, kedja och det nya fingeravtrycket innan write memory sparar konfigurationen; startup-bindningen läses tillbaka. Om det misslyckas: Vid fel återställs den tidigare identiteten om bindningen fortfarande tillhör körningen; administratörens ändringar bevaras. Ett misslyckat återställningsresultat innehåller journalens referens.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över SSH, port 22. Ingen agent installeras.
Tjänstens portar
443
Ni behöver
ASA-administratör med åtkomst till certifikat, ssl trust-point och write memory. SSH kräver en känd eller pinnad host key; REST kräver CA/namnkontroll eller en uttrycklig SHA256-certifikatpin. Appliancen måste nå alla valda TLS-tjänster med deras DNS/SNI-namn.
Plattform
ASA OS 9.x / ASAv, single context och aktiv enhet
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
cisco-asa 1.0.0
Observera
  • cisco-asa 1.0.0 är en signeringskandidat och är ännu inte publicerad i agentkatalogen.
  • SSH/CLI används på ASA 9.17+ och andra modeller. Befintlig legacy REST API 1.3.1+ kan väljas på dokumenterade modeller, inklusive ASAv, med ASA 9.3(2)–9.16 över HTTPS 443. Discovery avgör version och kanal före writes; TLS-fel kringgås inte med en annan kanal och en write upprepas inte via SSH. REST installeras eller aktiveras inte. Appliancen kör Bash/Python med cryptography 42+ och Paramiko.
  • En domain-, VPN-load-balancing- eller fallback-bindning kan delas av flera gränssnitt och av VPN och ASDM. Discovery visar hela det berörda området. Automatisk certifikathantering tas över endast efter ert val för den valda bindningen; tidigare enrollment och nycklar behålls.
  • write memory sparar hela ASA-enhetens running configuration, även andra väntande ändringar. Samordna därför sparandet med administratören. Behåll appliancens privata återställningsjournal för senare rollback. ASA-auditloggar kan innehålla importmaterial; behåll auditing och begränsa åtkomsten till dessa loggar.

Krav på certifikatet

Agentens nyckelval är RSA 2048, 3072 eller 4096 bit och ECDSA P-256 eller P-384. ASA 9.18 dokumenterar dessa RSA-storlekar och EC 256/384/521 för generering; P-521 är inget nyckelval i agenten. Generering fastställer inte import- eller TLS-gränser: RSA 4096 beror på vald ASA-version och tjänst (CSCut53512). Cisco anger inget universellt importmaximum i de citerade källorna. Från 9.16(1) kräver svaga RSA-nycklar en override som agenten inte aktiverar.

Certifikatet ska täcka alla valda DNS/SNI-namn i SAN. Agenten kräver inte CN och använder inte CN som ersättning för SAN i nya certifikat. De citerade ASA-källorna fastställer inget CN-krav eller en generell SAN-only/empty-subject-gräns för alla 9.x-versioner; importens identitet kontrolleras före bindning. Välj utfärdandeprofil efter de valda VPN-klienterna.

Secure Client 5.1 accepterar frånvarande KU/EKU. Om KU finns krävs digitalSignature; RSA kräver även keyEncipherment eller keyAgreement medan ECDSA saknar detta extra RSA-krav. En RSA tlsserver/minimal-profil med enbart digitalSignature passar därför inte denna klientregel. En angiven EKU ska tillåta serverAuth. clientAuth krävs inte av denna agent för TLS-serveridentiteten; klient- och IKEv2-certifikat har andra roller.

Cisco beskriver wildcard/UCC och flera SAN-namn. Agenten använder DNS-wildcard-matchning och typat IPAddress SAN för IP-mål; SNI använder ett DNS-namn. De citerade källorna fastställer inget maximalt SAN-antal eller en universell IP-SAN-importgräns. Agenten inför ingen numerisk SAN-gräns.

Indata är PEM-servercertifikat, tillhörande okrypterad PEM-nyckel och issuing chain. Agenten skapar lösenordsskyddad PKCS#12/PFX med uttrycklig 3DES för nyckel och certifikat samt SHA1 MAC. Det är agentens kompatibilitetsformat; den använder inte RC2. Källorna anger ingen ASA-versionsgräns för AES/PBES2-import. DER och JKS är inga indataformat.

Skicka nödvändiga intermediärer från servercertifikatets issuer uppåt. Agenten validerar kedjans länkar och utelämnar en medskickad self-signed rot från importens serverkedja; TLS-klientens trust store ska lita på roten. Cisco tillåter en valfri CA-kedja i PKCS#12 men fastställer ingen universell bag-ordning eller något rotkrav i dessa källor.

ASA-trustpointnamn får vara upp till 128 tecken. Agenten genererar ett kort sslbrain-namn med ASCII-bokstäver, siffror och bindestreck och använder det som PFX friendly name; ni behöver inte välja alias. Cisco fastställer ingen obligatorisk friendly name eller aliasregel i de citerade källorna. Tidigare nycklar tas inte bort efter namnlikhet.

Certifikatet och kedjan ska vara giltiga nu. Cisco rekommenderar notAfter före 2038-01-19 03:14:08 UTC även för importerade certifikat. De citerade källorna fastställer ingen minsta återstående livslängd eller numerisk maximal giltighetstid; agenten inför inga sådana tidsgränser.

Kom igång