Algum problema ao usar um certificado SSL da GoDaddy em um firewall Cisco ASA?

Question

Eu preciso comprar e instalar um certificado SSL no meu firewall Cisco ASA. Isso permitirá que meus usuários VPN se conectem ao meu ASA sem receber o erro de certificado do certificado SSL auto-atribuído não confiável que está atualmente no ASA.

Eu tive boas experiências com os certificados SSL que a GoDaddy vende. No entanto, estou preocupado em usá-los. Nos meus servidores da Web, também tenho que instalar o "pacote de certificado intermediário" do GoDaddy. No ASA eu não acho que serei capaz de realizar algo como isto. Eu não entendo completamente o que o "pacote de certificado intermediário" faz, mas obviamente é importante.

Portanto, minha pergunta é que posso usar um certificado SSL da GoDaddy em um ASA sem que meus usuários recebam qualquer tipo de aviso ou erro sobre a conexão a um site que use um certificado SSL não confiável. Eu preciso que isso seja o mais simples possível para os meus usuários finais e as mensagens de aviso são sempre assustadoras:)

Obrigado!

    

Answer 1

Eu tenho um certificado curinga GoDaddy (padrão, não deluxe) que eu uso no meu ASA 5510 para acesso ao ASDM. O ASDM diz que "os parâmetros SSL afetam o acesso tanto do ASDM quanto do SSL VPN", portanto, se funcionar para mim, deve ser para você e SSL VPNs.

Eu tive problemas para importar uma versão .pem da minha cadeia de certificados. Usando um * .pfx (como o IIS usa) funcionou bem.

Eu peguei gd_intermediate.crt do link

No ASDM, Configuração, Gerenciamento de Dispositivos, Gerenciamento de Certificados, Certificados de AC; clique em Adicionar, não altere nenhum padrão, instale a partir do arquivo, localize o arquivo gd_intermediate.crt.

Eu também tentei carregar o gd_bundle.crt que alguns dos nossos certs usam e que falhou, mas como o gd_intermediate.crt funcionou e é isso que meu curinga usa, eu não testei mais.

Após o certificado intermediário ser carregado, vá para Certificados de identidade (logo abaixo de Certificados de CA) e faça algo semelhante (Adicionar, importar do arquivo, escolha o arquivo .pfx e insira a senha para o .pfx.

Agora que o certificado foi instalado com sucesso, defina em quais interfaces ele será usado. Isso está em Gerenciamento de dispositivos, Avançado, Configurações SSL. Clique na interface (provavelmente fora dela), clique em Editar e escolha o nome do ponto confiável do certificado que você adicionou na última etapa. Clique em OK, Aplicar e tente acessar seu link e veja se ele carrega o certificado certo.

    

Answer 2

A autoridade de certificação intermediária vincula seu certificado a uma autoridade de certificação raiz confiável. É um elo importante na cadeia de confiança.

A Wikipédia tem um breve artigo sobre as autoridades de certificação intermediárias . Há também uma boa descrição aqui . Observe que um certificado encadeado e um certificado intermediário geralmente se referem à mesma coisa.

De qualquer forma, acho que você deve poder usar esse certificado com o seu dispositivo ... Encontrei as instruções a seguir por meio do Google. É uma página em outra autoridade de certificação intermediária que analisa o certificado intermediário em um dispositivo ASA antes de instalar o certificado SSL que eles emitiriam: Instale seus Certificados no Cisco ASA 5500 SSL VPN / Firewall .

    

Answer 3

Guia passo a passo para instalar o certificado wild card do Godaddy.com nas caixas da série Cisco ASA 5500.

1. Faça o download do certificado intermediário do link .

2. Acesse o link e converta seu arquivo .cer em .pfx (formato Pkcs12) inserindo urdomain .cer & intermedicate.cer & chave privada (considere que você baixou suas chaves privadas e certificados, por exemplo, * .urdomain.com) de gogaddy.com

3. Depois de criar o arquivo .pfx, No ASDM, Configuração, Gerenciamento de Dispositivos, Gerenciamento de Certificados, Certificados de AC; clique em Adicionar, não altere nenhum padrão, instale a partir do arquivo, localize o arquivo gd_intermediate.crt. Depois que o certificado intermediário é carregado, vá para Certificados de identidade (logo abaixo de Certificados de CA) e faça algo semelhante (Adicionar, importar do arquivo, escolha o arquivo .pfx e insira a senha para o .pfx.

É isso aí e aplique na interface externa para usar este certificado.