Cisco IOS CA

[Taucha 10]

Hallo.

 

Wir bauen gerade eine PKI Infrastruktur mit Cisco eigenen Bordmitteln auf.

Ein Router ist unsere Root - CA.

Ein weiterer ist eine Sub CA, die durch die Root CA Zertifiziert wurde.

Die Sub CA zertifiziert dann alle Client Router, die ein Zertifikat beantragen.

Die Clientrouter vollziehen die Authentifikation und Enroll über SCEP.

 

Das läuft alles wunderbar und die Authentifizierung über die Zertifikate läuft auch ohne Probleme.

 

Was ich nur an dieser Stelle mal wissen müsste ist, wie ist das mit der Gültigkeit des Root CA Zertifikates? Wenn diese abläuft (derzeit nach 10 Jahren (maximaler Wert)), funktioniert dann die Authentifizierung der Router untereinander noch?

Eigentlich ja nicht, da diese Gültigkeit 30 Tage weniger ist, als die der Root CA.

Die CRL wird (natürlich) vor jedem Authentifizierungsversuch von der Sub CA geholt.

 

Wenn jetzt das Root CA Zertifikat abläuft, ... muss ich dann eine komplett neue Root CA Struktur hochziehen, und alle Router neu enrollen? /o\

 

Das würde bei >100 Routern ja ewig dauern.

 

Sagt mir bitte, dass es da eine simple Möglichkeit gibt.

 

Bei Cisco hab ich direkt nichts gefunden, was dieses Szenario betrifft, was passiert, wenn das Root CA Zertifikat abläuft.

 

Danke schon mal.