Warum zeigt ein Cisco-Switch mit IOS XE 17.15.05 bei einem Trustpoint „Keys generated: No“ und bei einem anderen „Yes“ an?

**„Keys generated: Yes“ bedeutet, dass dieser Trustpoint ein eigenes Schlüsselpaar auf dem Switch erzeugt und mit dem Trustpoint verknüpft hat. „No“ bedeutet nicht automatisch einen Fehler, sondern meist: Dieser Trustpoint enthält nur ein importiertes CA-/Root-Zertifikat oder nutzt kein lokal für diesen Trustpoint erzeugtes Schlüsselpaar.** ([cisco.com](https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/security/s1/sec-s1-cr-book/sec-cr-s3.html)) ## Was die Anzeige konkret bedeutet Bei Cisco PKI ist ein Trustpoint nicht immer dasselbe: - **CA-/Root-Trustpoint**: dient nur dazu, einer Zertifizierungsstelle zu vertrauen. Dafür braucht der Switch **keinen eigenen Private Key**. Dann steht oft **`Keys generated ... No`**. ([cisco.com](https://www.cisco.com/c/en/us/support/docs/security-vpn/secure-shell-ssh/222700-resize-default-ssh-rsa-keys-on-cisco-ios.html)) - **Identity-/Enrollment-Trustpoint**: der Switch beantragt oder nutzt darüber **sein eigenes Zertifikat**. Dafür braucht er ein RSA-Schlüsselpaar. Wenn dieses im Gerät erzeugt und dem Trustpoint zugeordnet wurde, steht **`Yes`**. ([cisco.com](https://www.cisco.com/c/en/us/support/docs/security-vpn/public-key-infrastructure-pki/220422-configure-ca-signed-certificates-with-io.html)) Der praktische Unterschied ist also: **„No“ = Vertrauensanker oder Trustpoint ohne lokal erzeugten Schlüssel. „Yes“ = dieser Trustpoint besitzt eine lokale Identität mit Keypair.** ## Warum zwei Trustpoints unterschiedlich aussehen Das ist auf IOS XE völlig normal. Typische Fälle: - Ein Trustpoint enthält nur das **Cisco Root-/Licensing-/CA-Zertifikat** → **No**. Cisco zeigt genau so ein Beispiel in der Doku. ([cisco.com](https://www.cisco.com/c/en/us/support/docs/security-vpn/secure-shell-ssh/222700-resize-default-ssh-rsa-keys-on-cisco-ios.html)) - Ein anderer Trustpoint wurde für **HTTPS, Syslog-TLS, SCEP, AP-Join, VPN oder ein Gerätezertifikat** angelegt und hat per `crypto key generate rsa ...` bzw. über `rsakeypair` ein eigenes Keypair → **Yes**. ([cisco.com](https://www.cisco.com/c/en/us/support/docs/security-vpn/public-key-infrastructure-pki/220422-configure-ca-signed-certificates-with-io.html)) ## Der entscheidende Punkt, den viele übersehen **Die Anzeige sagt nicht nur etwas über das Zertifikat, sondern über die Herkunft des Schlüssels.** Wenn ein Zertifikat importiert wurde, aber **kein lokal generierter Schlüssel** an diesem Trustpoint hängt, kann trotzdem **`No`** erscheinen. Ebenso kann ein Trustpoint korrekt existieren, aber noch kein Enrollment mit lokalem Keypair abgeschlossen haben. Das ist der Unterschied zwischen „Trustpoint vorhanden“ und „Trustpoint hat eine lokale kryptografische Identität“. ## Woran du es auf dem Switch prüfst Relevant sind vor allem diese Punkte im Trustpoint: - `rsakeypair <label>` vorhanden - wurde das Keypair lokal mit `crypto key generate rsa ... label <label>` erzeugt - ist der Trustpoint nur mit `crypto pki authenticate` für eine CA befüllt worden - gibt es ein **Identity Certificate** oder nur **CA Certificate(s)** Wenn du bei dem Trustpoint mit **No** nur ein CA-Zertifikat siehst, ist das Verhalten korrekt und unkritisch. Wenn der Trustpoint aber eigentlich für die **eigene Geräteidentität** gedacht ist, dann fehlt meist entweder: - das erzeugte Keypair, - die Zuordnung per `rsakeypair`, - oder das Enrollment/Import der passenden Identity. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/security/s1/sec-s1-cr-book/sec-cr-s3.html)) ## Klare Einordnung **Für einen reinen CA-Trustpoint ist `Keys generated No` normal. Für einen Identity-Trustpoint ist `No` ein Hinweis, dass der lokale Schlüssel nicht erzeugt oder nicht korrekt zugeordnet wurde.** ([cisco.com](https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/security/s1/sec-s1-cr-book/sec-cr-s3.html)) Ein wenig bekannter, aber wichtiger Unterschied: **Das Zertifikat allein reicht nicht**. Auf IOS XE muss der **passende Private Key** zum Trustpoint passen, sonst funktioniert der Trustpoint zwar als Vertrauensspeicher, aber nicht als eigene Geräteidentität.