Cisco Secure Firewall (FMC): Zertifikat austauschen

Das Secure Firewall Management Center (FMC) speichert ein Serverzertifikat mit privatem Schlüssel als Internal-Certificate-Objekt. Typischer Nutzer ist eine Entschlüsselungsregel mit der Aktion Decrypt - Known Key: Die Firewall entschlüsselt Verkehr zu einem Ihrer eigenen Server mit dessen Zertifikat und privatem Schlüssel. Verwaltete Firewall-Threat-Defense-Geräte (FTD) erhalten eine Änderung erst, wenn die Konfiguration auf sie deployt wird.

Bei Decrypt - Known Key muss das Objekt dasselbe Zertifikat und denselben Schlüssel wie der Server enthalten. Wird das Zertifikat des Servers erneuert, muss das FMC-Objekt zur selben Zeit ersetzt werden - sonst kann die Firewall den Verkehr dieses Servers nicht mehr entschlüsseln. Planen Sie beide Änderungen gemeinsam.

VoraussetzungenCopy Anchor Link

• Notieren Sie die FMC-Domäne, das Internal-Certificate-Objekt und jede Regel, die es nutzt: Öffnen Sie die Entschlüsselungsrichtlinie unter Policies > Access Control > Decryption und suchen Sie die Regeln, die das Objekt auswählen. Notieren Sie, auf welche Geräte die Richtlinie deployt ist.
• Sichern Sie das FMC (System > Tools > Backup/Restore).
• Besorgen Sie das neue Zertifikat des Servers mit privatem Schlüssel in PEM oder DER, dazu das Kennwort des Schlüssels, falls er verschlüsselt ist.

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

1. Öffnen Sie Objects > Object Management > PKI > Internal Certs und klicken Sie auf Add Internal Cert.
2. Vergeben Sie einen Namen mit Zweck und Jahr (etwa web01-2026), fügen Sie Zertifikat und privaten Schlüssel ein oder wählen Sie die Dateien, aktivieren Sie bei einem verschlüsselten Schlüssel Encrypted und geben Sie das Kennwort ein, dann speichern. Das FMC prüft, ob Zertifikat und Schlüssel zusammengehören.
3. Öffnen Sie die Entschlüsselungsrichtlinie (Policies > Access Control > Decryption > Richtlinie bearbeiten), bearbeiten Sie jede Decrypt - Known Key-Regel, die das alte Objekt nutzte, wählen Sie das neue Objekt und speichern Sie die Richtlinie.
4. Deployen Sie zeitgleich mit dem Zertifikatswechsel am Server: auf Deploy klicken, die betroffenen Geräte wählen und deployen. Das Speichern von Objekten und Richtlinien ändert nur das FMC; die Geräte behalten die alte Konfiguration, bis das Deployment für jedes von ihnen erfolgreich war.
5. Behalten Sie das alte Objekt, bis jedes Gerät geprüft ist. Das FMC lässt ein Objekt, das noch von einer Richtlinie verwendet wird, nicht löschen - wird das Löschen abgelehnt, verweist noch eine Regel darauf.

FMC und FTD ab Version 10.0Copy Anchor Link

Mit Version 10.0 kam die Möglichkeit hinzu, Zertifikat und Schlüssel einer Entschlüsselungsregel jederzeit zu ändern. Die Release Notes von Cisco nennen drei Wege: in Object Management, über die API oder über ein ACME-basiertes System. Die Regel selbst muss nicht umgebaut werden, die Änderung erreicht die Geräte aber erst nach dem Deployment der dadurch veralteten Richtlinien.

Produktspezifische HinweiseCopy Anchor Link

Legen Sie in einem FMC mit mehreren Domänen das Objekt an und ändern Sie die Richtlinien in der richtigen Domäne. Das Zertifikat der FMC-Weboberfläche selbst ist ein eigenes Appliance-Zertifikat und wird über Internal-Certificate-Objekte nicht geändert.

Neues Zertifikat prüfenCopy Anchor Link

1. Prüfen Sie unter Deploy > Deployment History, ob das Deployment auf jedem gewählten Gerät erfolgreich war. Zeigt die Schaltfläche Deploy noch ausstehende Änderungen, wurde etwas nicht deployt.

2. Prüfen Sie das Zertifikat, das der Server jetzt ausliefert - es muss das im neuen Objekt sein:

   Copy Text

   openssl s_client -connect web01.example.com:443 -servername web01.example.com </dev/null | openssl x509 -noout -fingerprint -sha256

3. Erzeugen Sie Verkehr, der zu jeder Regel passt, und prüfen Sie die Verbindungsereignisse und den FTD-Zustand auf Entschlüsselungsfehler.

RollbackCopy Anchor Link

Wählen Sie in den Regeln wieder das alte Objekt und deployen Sie auf dieselben Geräte. Das hilft nur, solange der Server noch das alte Zertifikat nutzt und dieses noch gültig ist - liefert der Server schon das neue aus, setzen Sie auch den Server zurück oder korrigieren Sie stattdessen das neue Objekt. Löschen Sie das neue Objekt erst, wenn der Rollback auf allen Geräten abgeschlossen ist.

Häufige ProblemeCopy Anchor Link

• Der Server hat sein neues Zertifikat bekommen, das FMC hat aber noch das alte, deshalb scheitert die Entschlüsselung.
• Das neue Objekt wurde gespeichert, aber nie deployt.
• Die falsche Domäne oder Gerätegruppe wurde gewählt.
• Zertifikat und Schlüssel gehören nicht zusammen, das Objekt wird abgelehnt.
• Eine Regel verweist noch auf das alte Objekt.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für Cisco FMC legt ein benanntes Internal-Certificate-Objekt an bzw. aktualisiert es und kann für konfigurierte Geräte-UUIDs eine Deployment-Anfrage stellen. Die richtigen Geräte auszuwählen und die umgebungsspezifischen Verweise in den Richtlinien zu prüfen, bleibt Aufgabe der Administration.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• Cisco: FMC-Objektverwaltung, Internal-Certificate-Objekte (7.1)
• Cisco: FMC-Objektverwaltung (10.0)
• Cisco: Release Notes Secure Firewall Management Center 10.0
• Cisco: FMC 7.6 Entschlüsselungsrichtlinien