Как выпустить единый сертификат с помощью ADCS для всех коммутаторов или другого оборудования?

Question

[kaw1994]

Как выпустить единый сертификат с помощью ADCS для всех коммутаторов или другого оборудования?
Подскажите куда рыть.
Дано:
Множество оборудования к которому хотелось бы подключаться по шифрованному каналу, но при этом добавлять каждую железку в AD CS займет слишком много времени.
Подскажите, может есть способ выпустить один сертификат, а потом его уже распространить?

Comments

[Valentin Barbolin]

Какой вообще смысл использовать WEB интерфейс коммутатора?

Answer 1

[Alexey Dmitriev]

1. Создать подзону в DNS - например nethw.%companydomain.local%.
2. Создать в ней DNS записи для каждого устройства, чтобы обращаться и ним по DNS имени.
3. Выпустить wilcard сертификат для *.nethw.companydomain.local
4. Добавить его на все устройства.

Comments

[kaw1994]

У нас DNS и сетевое оборудование сильно разделены. Других вариантов нет? Возможно выпустить сертификат можно при помощи чего-нибудь другого, а в AD CS уже выпущенный добавить...

[Alexey Dmitriev]

kaw1994, вы вообще понимаете, как работают сертификаты?
Хотите красиво в браузере иметь-делайте нормально. Хотите с окнами предупреждений - железки умеют выпускать самоподписанные сертификаты обычно, используйте их.

[kaw1994]

Alexey Dmitriev, Если б хорошо понимал не писал бы тут...

Answer 2

[CityCat4]

Никак. И незачем.

Сертификаты - не нубская тема и никогда ею не будет. Любая железка умеет самоподписанный генерить - нафиг не нужно на нее ставить генереный - это только гемору добавляет и свитч повесить может. Да и процедура установки сертификата на разные свитчи сииильно друг от друга отличается.

Ставить генереные сертификаты - это разве что от желаения ходить на железки по красивому имени "switch1-1-1.zhopa.ruchka", а не по адресу - в противном случае смысла нет. А для красоты - все свитчи сначала в DNS нужно занести, поддерживать его. Да, этим можно заняться, если нечем больше

Answer 3

[zvl]

Чтобы не заморачиваться с ADCS, можно воспользоваться XCA.
Сгенеренный корневой сертификат XCA импортнуть в корневое хранилище домена выполнив команду от имени администратора домена на любом компьюере участнике домена:
certutil -f -dspublish "DOMAIN ROOT CA.crt" RootCA
И как писали выше, чтобы не засорять домен можно выделить отдельную dns зону для сетевых устройств. Новый домен включить в днс суффиксы сетевого интерфейса политиками домена.