证书注册

准备工作：

• 生成公钥和私钥对。请参阅 自签名数字证书。

• 配置证书颁发机构配置文件。请参阅 示例：配置 CA 配置文件。

• 对于 SCEP，请注册 CA 证书。请参阅 使用 SCEP 联机注册 CA 证书。

在此示例中，您将瞻博网络设备配置为联机获取本地证书，并使用 SCEP 启动指定证书 ID 的联机注册。您可以在 CA 配置文件名称 ca-profile-ipsec中指定 CA 服务器的 URL 路径。

您可以使用命令 request security pki local-certificate enroll scep 启动指定证书 ID 的联机注册。（从 Junos OS 版本 15.1X49-D40 和 Junos OS 版本 17.3R1 开始，支持且需要关键字 scep 。您必须指定 CA 配置文件名称（例如）、 ca-profile-ipsec与先前生成的密钥对对应的证书 ID（例如 qqq）以及以下信息：

• CA 管理员为证书注册和重新注册提供的质询密码。

• 至少具有以下值之一：

  • 用于在 IKE 协商中标识证书所有者的域名，例如 qqq.example.net。

  • 与电子邮件语句进行 IKE 协商的证书所有者的身份，例如 qqq@example.net。

  • 如果设备配置为静态 IP 地址，则为 IP 地址，例如 10.10.10.10。

以引号括起来的可分辨名称格式指定使用者名称，包括域组件 （DC）、公用名 （CN）、序列号 （SN）、组织单位名称 （OU）、组织名称 （O）、地点 （L）、州 （ST） 和国家 （C）。

获取设备证书并开始在线注册证书 ID 后。该命令以异步方式处理。

要验证配置是否正常工作，请输入 show security pki 命令。

准备工作：

• 在线或手动获取证书。请参阅 数字证书。

• 获取本地证书。请参阅 示例：使用 SCEP 联机注册本地证书。

可以使设备自动续订通过联机注册获取或手动加载的证书。自动证书续订使您不必记住在证书过期之前在设备上续订证书，并有助于始终维护有效的证书。

默认情况下，自动证书续订处于禁用状态。您可以启用自动证书续订，并将设备配置为在证书过期之前自动发送重新注册证书的请求。您可以指定何时发送证书重新注册请求;重新注册的触发器是证书到期前剩余的证书生存期的百分比。例如，如果要在证书的剩余生存期为 10% 时发送续订请求，则为重新注册触发器配置 10。

要使此功能正常工作，设备必须能够访问 CA 服务器，并且在续订过程中证书必须存在于设备上。此外，您还必须确保颁发证书的 CA 可以返回相同的 DN。CA 不得修改新证书中的使用者名称或备用使用者名称扩展名。

您可以为所有 SCEP 证书启用和禁用自动 SCEP 证书续订，也可以基于每个证书启用和禁用自动 SCEP 证书续订。您可以使用命令 set security pki auto-re-enrollment scep 启用和配置证书重新注册。在此示例中，您将 CA 证书的证书 ID 指定为 ca-ipsec ，并将与证书关联的 CA 配置文件名称设置为 ca-profile-ipsec。您将 CA 证书的质询密码设置为 CA 管理员提供的质询密码;此密码必须与之前为 CA 配置的密码相同。还可以将重新注册触发器 10的百分比设置为 。在自动重新注册期间，瞻博网络设备默认使用现有密钥对。一个好的安全做法是重新生成新的密钥对以进行重新注册。要生成新的密钥对，请使用 re-generate-keypair 命令。

要验证配置是否正常工作，请输入 show security pki local-certificate detail 操作模式命令。

生成公钥和私钥。请参阅 自签名数字证书。

在此示例中，您将使用之前生成的公钥-私钥对 （ca-ipsec） 的证书 ID 生成证书请求。然后指定域名 （example.net） 和关联的公用名 （abc）。证书请求以 PEM 格式显示。

复制生成的证书请求并将其粘贴到 CA 网站的相应字段中以获取本地证书。（请参阅 CA 服务器文档以确定将证书请求粘贴到的位置。显示 PKCS #10 内容时，还会显示 PKCS #10 文件的 MD5 哈希和 SHA-1 哈希。

要查看证书签名请求，请输入 show security pki certificate-request detail 命令。

准备工作：

• 生成公钥-私钥对。请参阅 自签名数字证书。

• 创建 CA 配置文件。请参阅 了解证书颁发机构配置文件。

  只有 CA 证书需要 CA 配置文件，本地证书不需要

• 生成证书请求。请参阅 示例：手动为本地证书生成 CSR 并将其发送到 CA 服务器。

在此示例中，您将下载 local.cert 和 ca.cert 证书，并将其保存到设备上的 /var/tmp/ 目录中。

从 CA 下载证书后，将其传输到设备（例如，使用 FTP），然后加载它们。

您可以将以下证书文件加载到运行 Junos OS 的设备上：

• 用于标识本地设备的本地或最终实体 （EE） 证书。此证书是您的公钥。

• 包含 CA 公钥的 CA 证书。

• 列出 CA 吊销的任何证书的 CRL。

  您可以将多个 EE 证书加载到设备上。

要验证是否正确加载了证书，请在操作模式下输入 show security pki local-certificate 和 show security pki ca-certificate 命令。