Cisco SMA и сертификаты

[Henk Fictorie - Ulrich]

Мы используем SMA для почтовой ретрансляционной среды у клиента. Конечные пользователи получают доступ к производственному интерфейсу HTTPS для карантина SPAM. Наша операционная команда использует интерфейс управления HTTPS для повседневной работы. Они используют старый веб-интерфейс и IP-адрес интерфейса управления, например
https://10.a.b.c/
. Мы установили один сертификат на устройстве. CN в этом сертификате совпадает с именем хоста, используемым конечными пользователями, и они видят действительный сертификат при доступе к карантину спама. Наша операционная команда видит тот же сертификат при доступе к устройству, и этот сертификат выглядит недействительным, потому что они используют IP-адрес. Кроме того, имя хоста, связанное с этим интерфейсом, не совпадает с CN сертификата, поэтому переход на использование имени хоста не устраняет это предупреждение. Мы думаем о переходе на новый веб-интерфейс. Для этого мы должны начать использовать имена хостов в интерфейсе управления и использовать действительный сертификат. Однако я не понимаю, как использовать разные сертификаты для производственного интерфейса и другого для интерфейса управления. Вопросы: Можно ли использовать разные сертификаты для разных интерфейсов/портов?
Как это настроить? Единственное, что приходит мне в голову, — это указать все возможные имена хостов в поле SAN сертификата, но это раскрывает информацию о нашей среде (хотя и в небольшом объеме) конечным пользователям нашего клиента. Хенк

[Udupi Krishna.]

На SMA невозможно назначить разные сертификаты разным интерфейсам. Вы правильно подошли к решению, сертификат SAN — лучший вариант в данном случае. SMA позволяет использовать разные сертификаты для разных функций, но не для интерфейсов.

[chrishklomp]

Интересно, почему так происходит, ведь на ESA это возможно. Мы также обычно подключаемся по IP-адресу mgmt, поэтому наши внутренние сертификаты поддерживают их. Но для доступа клиентов публичные сертификаты не допускают IP-адреса в полях SAN... Поэтому очень полезно иметь отдельные сертификаты для каждого интерфейса...