인증서 등록

시작하기 전에:

• 공개 및 개인 키 쌍을 생성합니다. 자체 서명 디지털 인증서를 참조하십시오.

• 인증 기관 프로필을 구성합니다. 예: CA 프로필 구성.

• SCEP의 경우 CA 인증서를 등록합니다. SCEP를 사용하여 온라인으로 CA 인증서 등록을 참조하십시오.

이 예에서는 온라인으로 로컬 인증서를 획득하고 SCEP를 사용하여 지정된 인증서 ID에 대한 온라인 등록을 시작하도록 주니퍼 네트웍스 디바이스를 구성합니다. CA 프로파일 이름 ca-profile-ipsec에서 CA 서버에 대한 URL 경로를 지정합니다.

명령을 사용 request security pki local-certificate enroll scep 하 여 지정 된 인증서 ID에 대 한 온라인 등록을 시작 합니다. (Junos OS 릴리스 15.1X49-D40 및 Junos OS 릴리스 17.3R1부터 키워드가 scep 지원되며 필수입니다.) CA 프로파일 이름(예: ca-profile-ipsec), 이전에 생성된 키 쌍에 해당하는 인증서 ID(예 qqq: ) 및 다음 정보를 지정해야 합니다.

• 인증서 등록 및 재등록을 위해 CA 관리자가 제공한 챌린지 암호입니다.

• 다음 값 중 하나 이상:

  • IKE 협상에서 인증서 소유자를 식별하기 위한 도메인 이름(예: qqq.example.net)입니다.

  • 전자 메일 문과의 IKE 협상을 위한 인증서 소유자의 ID(예: qqq@example.net).

  • 디바이스가 고정 IP 주소로 구성된 경우 IP 주소(예: 10.10.10.10).

DC(도메인 구성 요소), CN(일반 이름), 일련 번호(SN), OU(조직 구성 단위 이름), 조직 이름(O), 구/군/시(L), 시/도(ST) 및 국가(C)를 포함하여 따옴표 안에 주체 이름을 따옴표 형식으로 지정합니다.

장치 인증서를 가져오면 인증서 ID에 대한 온라인 등록이 시작됩니다. 명령은 비동기적으로 처리됩니다.

구성이 제대로 작동하는지 확인하려면 명령을 입력합니다 show security pki .

시작하기 전에:

• 온라인 또는 수동으로 인증서를 얻습니다. 디지털 인증서를 참조하십시오.

• 로컬 인증서를 가져옵니다. 예: SCEP를 사용하여 온라인으로 로컬 인증서 등록.

온라인 등록을 통해 획득했거나 수동으로 로드된 인증서를 자동으로 갱신하도록 장치를 설정할 수 있습니다. 자동 인증서 갱신을 사용하면 인증서가 만료되기 전에 디바이스에서 인증서를 갱신하는 것을 기억할 필요가 없으며 항상 유효한 인증서를 유지하는 데 도움이 됩니다.

자동 인증서 갱신은 기본적으로 비활성화되어 있습니다. 자동 인증서 갱신을 활성화하고 만료되기 전에 인증서 재등록 요청을 자동으로 보내도록 디바이스를 구성할 수 있습니다. 인증서 재등록 요청을 보낼 시기를 지정할 수 있습니다. 재등록에 대한 트리거는 만료 전에 남아 있는 인증서 수명의 백분율입니다. 예를 들어 인증서의 남은 수명이 10%일 때 갱신 요청을 보내려면 재등록 트리거에 대해 10을 구성합니다.

이 기능이 작동하려면 디바이스가 CA 서버에 연결할 수 있어야 하며 갱신 프로세스 중에 인증서가 디바이스에 있어야 합니다. 또한 인증서를 발급하는 CA가 동일한 DN을 반환할 수 있는지도 확인해야 합니다. CA는 새 인증서에서 주체 이름 또는 대체 주체 이름 확장명을 수정해서는 안 됩니다.

모든 SCEP 인증서 또는 인증서별로 자동 SCEP 인증서 갱신을 사용하거나 사용하지 않도록 설정할 수 있습니다. 명령을 사용하여 set security pki auto-re-enrollment scep 인증서 재등록을 사용하도록 설정하고 구성합니다. 이 예에서는 CA 인증서의 인증서 ID를 로 ca-ipsec 지정하고 인증서와 연관된 CA 프로파일 이름을 로 ca-profile-ipsec설정합니다. CA 인증서에 대한 챌린지 암호를 CA 관리자가 제공한 챌린지 암호로 설정합니다. 이 암호는 CA에 대해 이전에 구성한 암호와 동일해야 합니다. 또한 재등록 트리거의 백분율을 로 10설정합니다. 자동 재등록 중에 주니퍼 네트웍스 디바이스는 기본적으로 기존 키 페어를 사용합니다. 좋은 보안 방법은 재등록을 위해 새 키 쌍을 다시 생성하는 것입니다. 새 키 페어를 re-generate-keypair 생성하려면 명령을 사용합니다.

구성이 제대로 작동하는지 확인하려면 운영 모드 명령을 show security pki local-certificate detail 입력합니다.

공개 및 개인 키를 생성합니다. 자체 서명 디지털 인증서를 참조하십시오.

이 예에서는 이전에 생성한 퍼블릭-프라이빗 키 쌍(ca-ipsec)의 인증서 ID를 사용하여 인증서 요청을 생성합니다. 그런 다음 도메인 이름(example.net)과 연결된 일반 이름(abc)을 지정합니다. 인증서 요청은 PEM 형식으로 표시됩니다.

생성된 인증서 요청을 복사하고 CA 웹 사이트의 해당 필드에 붙여넣어 로컬 인증서를 얻습니다. (CA 서버 설명서를 참조하여 인증서 요청을 붙여넣을 위치를 결정합니다.) PKCS #10 내용이 표시되면 PKCS #10 파일의 MD5 해시 및 SHA-1 해시도 표시됩니다.

인증서 서명 요청을 보려면 명령을 입력합니다 show security pki certificate-request detail .

시작하기 전에:

• 퍼블릭-프라이빗 키 쌍을 생성합니다. 자체 서명 디지털 인증서를 참조하십시오.

• CA 프로필을 만듭니다. 인증 기관 프로파일 이해를 참조하십시오.

  CA 프로필은 CA 인증서에만 필요하며 로컬 인증서에는 필요하지 않습니다

• 인증서 요청을 생성합니다. 예: 로컬 인증서에 대한 CSR을 수동으로 생성하여 CA 서버로 전송합니다.

이 예에서는 local.cert 및 ca.cert 인증서를 다운로드하여 디바이스의 /var/tmp/ 디렉터리에 저장합니다.

CA에서 인증서를 다운로드한 후 디바이스로 전송(예: FTP 사용)한 다음 로드합니다.

Junos OS를 실행하는 디바이스에 다음 인증서 파일을 로드할 수 있습니다.

• 로컬 디바이스를 식별하는 로컬 또는 최종 엔터티(EE) 인증서입니다. 이 인증서는 공개 키입니다.

• CA의 공개 키를 포함하는 CA 인증서입니다.

• CA에 의해 해지된 모든 인증서를 나열하는 CRL입니다.

  디바이스에 여러 EE 인증서를 로드할 수 있습니다.

인증서가 제대로 로드되었는지 확인하려면 운영 모드에서 및 show security pki ca-certificate 명령을 입력합니다show security pki local-certificate.