开关上的PKI
AOS-CX开关系列开关提供了安装证书授权(CA)证书以及叶子证书的生成和安装。
信任锚点概况
该开关支持64个信任锚(TA)配置文件。每个TA配置文件存储一个值得信赖的CA证书。该证书可以是必须是自签名的Root CA证书,也可以是由另一个CA签发的中级CA证书。
笔记:
证书必须具有基本约束
带有CA密钥设置为真的
,及其钥匙用
带有的扩展字段设置KeyCertSign
和/或crlsign
。
CA证书用于:
验证远程对等方在尝试在开关上建立安全连接时所存在的证书,例如SSH服务器。
验证Syslog客户端,Web UI或REST API,在开关上安装的叶子证书。
TA配置文件还可以配置证书撤销的实时检查(通过OCSP)。
叶证书
可以在开关上安装叶证书,以供诸如Syslog客户端,Web UI或REST API之类的功能使用。如果您是从受信任的CA购买证书,则该开关可以生成用于获得证书的证书签名请求(CSR)。该开关还可以直接生成自签名的证书。或者,可以在交换机外生成证书和私钥,然后导入。X509证书管理软件(例如OPENSL)可用于生成私钥和CSR,然后将证书和私钥组合到一个PEM或PKCS#12文件中,适合导入交换机。
对等设备主机名的强制匹配
在验证对等设备证书时,开关检查对等设备是否配置了主机名是否匹配主题替代名称(SAN)字段或证书主题字段中的通用名称(CN)。如果存在SAN字段并匹配主机名,则验证成功,否则会失败。如果不存在SAN字段,并且CN与主机名匹配,则验证成功,否则会失败。