Cisco ASA och appliances utan EAB-stöd

Enheten kör själv ACME mot en registrerings-URL för engångsbruk som bär EAB-bindningen, så att den bara behöver det enda URL-fältet.

Så fungerar det

Skapa en registrerings-URL Skapa en EAB-nyckel för engångsbruk i enhetens ACME-profil i kontrollpanelen och kopiera URL:en. En URL per enhet.
Konfigurera FairSSL AutoDNS En CNAME-post för _dnsauth-värdnamnet till FairSSL AutoDNS besvarar DNS-01, så att enheten inte behöver port 80 öppen.
Registrera från enheten Sätt enhetens ACME-server-URL till registrerings-URL:en, lämna EAB-fälten tomma och starta registreringen.
Kontrollera Enheten ska rapportera certifikatet som installerat och giltigt. Testa det publika FQDN:et med FairSSL:s SSL-skanner.

← Alla guider

Vissa enheter kan peka på en valfri ACME-server-URL men har inga fält för EAB Key ID och HMAC-nyckel. FairSSL ger dig en registrerings-URL för engångsbruk som innehåller bindningen, så enheten kan registrera sig med bara det enda fält den redan har. URL:en fungerar en gång och spärras i samma stund kontot skapas.

Versioner som stöds

Plattform	Versioner	Körs på	ACME-klient
Cisco ASA och enheter utan EAB	VersionerGuiden sätter ingen versionsgräns	Körs påEnheten själv	ACME-klientEnhetens inbyggda ACME-klient med en engångs-URL, utan EAB

När använder du registrerings-URL:en?

Använd den här Inga EAB-fält

Enheten har bara ett ACME-URL-fält

Cisco ASA, FortiOS före 7.6.3 och annan firmware för VPN och brandväggar som accepterar en valfri ACME-server- eller directory-URL men saknar fält för EAB Key ID och HMAC-nyckel. Registrerings-URL:en är gjord för just dem.

Använd vanlig EAB Har EAB-fält

Klienten stöder EAB

Har din klient fält för EAB Key ID / HMAC (FortiOS 7.6.3 och senare, certbot, Lego, simple-acme, cert-manager med flera) använder du i stället en vanlig EAB-nyckel. Se guiderna för ACME-klienter.

Så här ställer du in det

Steg 1: Skapa en registrerings-URL för engångsbruk

Öppna ACME-profilen för enheten i FairSSL-kontrollpanelen, gå till fliken EAB-nycklar och skapa en nyckel med användningen engångs. FairSSL visar en registrerings-URL bredvid nyckeln. Kopiera den. Den ser ut så här:

https://fairssl.dk/acme/t/<din-registrerings-token>

Registrerings-URL:en visas bara för engångsnycklar. Återanvändbara nycklar får ingen. Skapa en URL per enhet.

Steg 2: Konfigurera FairSSL AutoDNS

Gå till AutoDNS i FairSSL-kontrollpanelen och skapa en CNAME-post för _dnsauth.<din-domän> som pekar på FairSSL:s DNS-server. AutoDNS besvarar valideringen via DNS-01, så enheten behöver aldrig ha port 80 öppen. Se den fullständiga AutoDNS-guiden.

Steg 3: Klistra in URL:en i enheten

Ställ in ACME-server-URL (kallas ibland Directory URL eller CA URL) i enhetens ACME-/certifikatinställningar till registrerings-URL:en från steg 1. Lämna eventuella fält för EAB Key ID och HMAC tomma. Bindningen ligger redan i URL:en.

# Cisco ASA, vägledande: exakta nyckelord beror på firmware
crypto ca trustpoint FAIRSSL-ACME
  enrollment protocol acme url https://fairssl.dk/acme/t/<din-registrerings-token>
  fqdn vpn.example.com
  subject-name CN=vpn.example.com

Fältnamn och CLI-kommandon beror på enhet och firmwareversion. Det som alltid gäller är att ACME-URL:en är registrerings-URL:en och att det inte finns några separata EAB-fält att fylla i.

Steg 4: Registrera

Starta registreringen från enheten (till exempel crypto ca authenticate och sedan crypto ca enroll på en Cisco ASA, eller motsvarande knapp i GUI:t). Enheten hämtar ACME-katalogen från registrerings-URL:en, skapar ett konto, validerar domänen via AutoDNS och laddar ner certifikatet. Det är oftast klart på under en minut.

Steg 5: Verifiera

Kontrollera att enheten rapporterar certifikatet som installerat och giltigt, och testa sedan det publika FQDN:t med FairSSL:s SSL-skanner för att se att rätt certifikat används.

Så fungerar registrerings-URL:en för engångsbruk

Ett konto, sedan förbrukad. URL:en kan skapa exakt ett ACME-konto och förbrukas i samma stund kontot skapas. Ett misslyckat försök (fel nonce, tidsskillnad) förbrukar den inte, så enheten kan försöka igen.
Förnyelser fortsätter att fungera. Efter registreringen autentiserar sig enheten med sin egen kontonyckel. Registrerings-URL:en förblir en giltig ingångspunkt, så låt den vara kvar. Förnyelser och nya hämtningar fortsätter att fungera.
Ny nyckel kräver ny URL. Om enheten återställs och skapar en helt ny kontonyckel kan den förbrukade URL:en inte skapa ett andra konto. Skapa då en ny engångsnyckel och en ny registrerings-URL.

Vanliga frågor

Hitta svar på de vanligaste frågorna om SSL-certifikat och FairSSL.

Varför kan min Cisco ASA eller appliance inte använda en vanlig EAB-nyckel?

Vissa enheter (Cisco ASA, FortiOS före 7.6.3 och viss firmware för VPN och brandväggar) kan peka på en valfri ACME-server-URL men har inga fält för EAB Key ID och HMAC-nyckel. FairSSL kräver External Account Binding, så de enheterna kan normalt inte registrera sig. Registrerings-URL:en löser det: bindningen ligger i själva URL:en, så enheten behöver bara det enda fält den redan har.

Är det säkert att lägga registrerings-URL:en i en enhetskonfiguration?

Registrerings-URL:en fungerar bara en gång. Den kan skapa exakt ett ACME-konto och spärras automatiskt i samma stund kontot skapas. Därefter autentiserar sig enheten med sin egen kontonyckel, precis som andra ACME-klienter, och URL:en kan inte längre skapa ett nytt konto. Skapa den, klistra in den i enheten och registrera.

Behöver jag spara registrerings-URL:en efter det första certifikatet?

Nej. Låt enheten fortsätta peka på URL:en. Den förblir en giltig ingångspunkt, så förnyelserna fortsätter att fungera, men själva bindningen är förbrukad efter den första registreringen. Om du fabriksåterställer enheten så att den skapar en helt ny kontonyckel skapar du en ny engångsnyckel och en ny registrerings-URL.

Behöver enheten ha port 80 öppen mot internet?

Nej. Använd FairSSL AutoDNS så att domänen valideras via DNS-01 hos oss. Enheten behöver aldrig exponera en HTTP-valideringspunkt.

Kan jag använda en återanvändbar EAB-nyckel i URL:en?

Nej. Registrerings-URL:en finns bara för engångsnycklar, och servern avvisar den för återanvändbara nycklar. En återanvändbar nyckel i URL:en vore en långlivad hemlighet. Med engångsbruk begränsas exponeringen till en enda registrering. Ska du ansluta flera enheter skapar du en registrerings-URL per enhet.

Min ACME-klient stöder faktiskt EAB. Ska jag ändå använda det här?

Nej. Har din klient fält för EAB Key ID och HMAC använder du det vanliga flödet med en vanlig EAB-nyckel. Se guiderna för appliances och ACME-klienter. Registrerings-URL:en finns bara för klienter som inte kan ta emot EAB-uppgifter alls.

Redo att automatisera certifikat på din appliance?

Skapa ett gratis konto och beställ ditt första certifikat. Ett DV-certifikat utfärdas på under 2 minuter.

Skapa gratis konto Jämför certifikat