管理 ESRS Listener Service 的 SSL 证书技术说明

Size: px

Start display at page:

Download "管理 ESRS Listener Service 的 SSL 证书技术说明"

棚今蒲
5 years ago
Views:

管理 ESRS HTTPS Listener Service 的 SSL 证书技术说明部件号 300-015-114 修订版 A01 2013 年 8 月本文档包含有关以下主题的信息 : 简介... 2 术语... 2 HTTPS 概念.

1 管理 ESRS HTTPS Listener Service 的 SSL 证书技术说明部件号修订版 A 年 8 月本文档包含有关以下主题的信息 : 简介... 2 术语... 2 HTTPS 概念... 3 获取适当的 X.509 证书... 4 将 ESRS HTTPS Listener Service 配置为使用适当的 X.509 证书... 7 配置 ConnectHome 以验证服务器身份故障排除

2 简介简介本技术说明介绍了一种方法, 用来对控制站上的 ConnectHome 功能与运行 Microsoft Windows 的主机系统上安装的 EMC Secure Remote Support (ESRS) HTTPS Listener Service 之间的 HTTPS 连接进行保护如果安装并配置了两个组件, 并且连接显示为正在运行 ( 通过使用默认的 HTTPS 配置 ), 则应该为 ESRS HTTPS Listener Service 提供特定于承载该服务的系统的 X.509 许可证通过执行此操作, 任何 ConnectHome 客户端都可以验证服务器身份术语 ESRS HTTPS Listener (EHL) Service HTTPS 一个 ESRS IP 客户端组件, 它从 EMC 设备上运行的 ConnectEMC 客户端应用程序接受 HTTPS 事件通知 HTTP Secure, 也称为 HTTP over SSL X.509 证书 ( 通常也称为 SSL 证书 ) PKI 一种标识形式, 在这种形式中, 使用者名称绑定到公钥证书签署者声称使用该证书的实体名副其实证书颁发机构公钥基础架构验证 X.509 证书中的标识信息是否合法的实体 2

3 HTTPS 概念 HTTPS 概念 HTTPS 保护两个系统之间的 HTTP 交换通常情况下, 此保护使用加密技术来保护网络中的通信, 并使客户端 ( 即启动交换的系统 ) 能够验证服务器的身份您可以在不验证服务器身份的情况下使用 HTTPS, 但这样会使交换易于遭受中间人攻击为了让客户端系统验证服务器的身份, 服务器将向客户端提供 X.509 证书, 该证书标识服务器, 并且与只有服务器系统才有权访问的私钥相关联这样,HTTPS 握手过程便可以使用挑战和响应协议, 从而使客户端系统可以验证服务器是否拥有与证书相关联的私钥以及证书受信任的程度, 确保自己正与正确的服务器进行通信从逻辑上讲, 在建立有效的 HTTPS 连接时涉及三个系统它们包括 : 启动连接的客户端系统在本技术说明中, 该系统是指启动 ConnectHome 调用的控制站接收连接的服务器系统 ( 应该会对该系统的身份进行验证 ) 证书颁发机构 (CA), 该颁发机构验证服务器使用的 X.509 证书中的信息是否正确 ( 即, 服务器是否名副其实 ) CA 可以是外部签署颁发机构, 也可以是服务器系统本身在后一种情况下, 这会产生自签署证书服务器从本质上指明它名副其实服务器必须先获取适用的 X.509 证书, 然后所有客户端才可以验证该服务器的身份此证书由某个实体签署, 用于验证信息是否正确, 即使该实体是服务器本身也是如此一旦此证书到位并且客户端启动到服务器的连接, 则服务器便会为客户端提供此证书客户端会验证证书中的信息是否与它的预期一致 ( 通常情况下, 主机名或 IP 地址与用于连接到服务器的主机名或 IP 地址一致 ), 之后, 它必须确定证书的可靠程度 ( 证书由谁签署以及是否信任该签署颁发机构 ) 以下各节介绍如何获取适用的证书并将其安装在 EHL 承载系统上, 以及如何将控制站配置为接受该证书 3

4 获取适当的 X.509 证书获取适当的 X.509 证书具有内部证书颁发机构的环境以下各节介绍了获取或生成 X.509 证书的不同方法如果要在已有证书颁发机构 (CA) 的环境中安装 EHL 服务和 ConnectHome 功能, 则应该有现成的过程, 可用来为承载 EHL 服务的系统生成证书签署请求 (CSR) 执行此过程, 使用站点的书面过程在 EHL 承载系统上安装生成的已签署证书有关使控制站能够识别此颁发机构的过程, 请参见配置 ConnectHome 以验证服务器身份一节已经安装了适当的证书的位置要验证是否已经在承载 EHL 服务的系统上安装了适当的 X.509 证书, 请执行以下操作 : 1. 在承载 EHL 服务的 Windows 系统上, 启动 Microsoft 管理控制台 (MMC) 在开始菜单中, 选择运行输入 mmc 作为要运行的命令 2. 为本地计算机添加证书管理单元 ( 有关更加详细的说明, 请参见 Windows 系统的联机帮助 ) 4

5 获取适当的 X.509 证书 3. 在屏幕左侧的列表中, 选择 : 证书 ( 本地计算机 ) 个人证书 4. 在右侧窗格中, 按 IP 地址或主机名查找用于标识系统的证书确保该证书具有相应的私钥如果已经设置了适用的证书, 请确定签署颁发机构 ( 证书颁发机构或自签署颁发机构 ) 并查找相应的公用证书, 以便控制站可以验证服务器的身份 ( 在配置 ConnectHome 以验证服务器身份一节中讨论 ) 使用控制站生成自签署 X.509 证书如果环境中没有用于生成 X.509 证书的首选方法或机制并且尚未安装适用的证书, 请使用控制站生成适用的证书执行以下步骤 : 1. 记录承载 EHL 服务的系统的 IP 地址或完全限定主机名记录将用于配置 ConnectHome 的主机 ID 的形式此示例使用以下 IP 地址 : IP Address: 使用 SSH 登录控制站系统接受任何有效的用户帐户 ; 您不必是 root 用户 5

6 获取适当的 X.509 证书 3. 使用以下命令 ( 全部在一行中 ) 生成具有相应私钥的自签署 X.509 证书 : openssl req x509 newkey rsa:1024 out mycert.pem keyout mykey.pem days 365 outform PEM 此命令会创建自签署证书 ( 使用者和签署者是相同的 ) 和相应的密钥 ( 分别为 mycert.pem 和 mykey.pem) 此证书具有长 1024 位的密钥, 有效期为一年要使用更大的密钥大小, 请将 -newkey 参数更改为 rsa:2048 要更改证书的有效时间长度, 请将该参数更改为 -days 选项注意 : 应对私钥 (mykey.pem) 予以保护, 这非常重要如果该密钥受到损坏, 也会累及 HTTPS 连接的安全 4. 键入以下命令 ( 全部在一行中 ) 以将生成的证书 (mycert.pem) 和关联私钥 (mykey.pem) 捆绑到一个 PKCS #12 捆绑包中, 在承载 EHL 服务的 Windows 系统上, 可以导入该包 Openssl pkcs12 export out mypkg.p12 in mycert.pem inkey mykey.pem 5. 将生成的 PKCS #12 文件 (mypkg.p12) 传输到承载 EHL 服务的 Windows 系统传输此文件时, 一定要指出它是二进制文件传输完成后, 便可以从控制站中删除私钥文件 mykey.pem 保留一份公用证书 mycert.pem 的拷贝, 以便在以后使用 6

7 将 ESRS HTTPS Listener Service 配置为使用适当的 X.509 证书将 ESRS HTTPS Listener Service 配置为使用适当的 X.509 证书要将 ESRS HTTPS Listener Service 配置为使用适当的证书, 需要执行以下两个步骤 : 1. 将 X.509 证书导入到证书存储中 ( 如果该存储中尚没有该证书 ) 2. 将 EHL 服务配置为使用新证书导入 X.509 证书和相应的私钥将 PKCS #12 文件传输到承载 EHL 服务的系统后, 便可以执行以下步骤来导入 X.509 证书 : 1. 启动 Microsoft 管理控制台 (MMC) 2. 为本地计算机添加证书管理单元 ( 有关更加详细的说明, 请参见联机帮助 ) 3. 在屏幕左侧的列表中, 选择 : 证书 ( 本地计算机 ) 个人证书 4. 右键单击证书文件夹, 选择所有任务导入, 然后根据提示从 PKCS#12 证书捆绑包所在的位置导入该包 7

8 将 ESRS HTTPS Listener Service 配置为使用适当的 X.509 证书 5. 一旦导入完成, 请双击最终的证书此时会显示类似下面的对话框请注意颁发给 : 和颁发者 : 条目的值相同这表示证书是自签署的接下来, 请注意证书存储认为证书不可信您应该将该公用证书导入到受信任的根证书颁发机构存储中, 使该证书得到此系统的信任通过再次将 PKCS#12 捆绑包导入到证书存储中 ( 但导入到不同的文件夹中 ), 可执行此操作此过程与上述过程相同, 只不过在步骤 3 中, 选择证书 ( 本地计算机 ) 受信任的根证书颁发机构证书 8

9 将 ESRS HTTPS Listener Service 配置为使用适当的 X.509 证书完成此操作后, 应会显示类似下面的原始证书 : 将 EHL 服务配置为使用已安装的证书将适用的证书安装在证书存储中后, 必须将 EHL 配置为使用该证书以下步骤介绍如何将 EHL 服务配置为使用适当的 X.509 证书 : 1. 在证书管理单元中, 双击证书 ( 请参见上述过程中的步骤 5) 2. 选择详细信息选项卡并查找指纹值这应该是证书的 SHA 1 哈希, 并应与以下内容类似 : 9

$将 ESRS HTTPS Listener Service 配置为使用适当的 X.509 证书 3. 记下指纹值 4. 在 Windows 外壳中, 转至 esrshttps.exe 的安装位置 ; 例如 : C:\Program Files\EMC\ESRS IP Client\Gateway\ESRSHTTPS 5. 运行命令 esrshttps.$

10 将 ESRS HTTPS Listener Service 配置为使用适当的 X.509 证书 3. 记下指纹值 4. 在 Windows 外壳中, 转至 esrshttps.exe 的安装位置 ; 例如 : C:\Program Files\EMC\ESRS IP Client\Gateway\ESRSHTTPS 5. 运行命令 esrshttps.exe config 6. 在显示的对话框中, 确保按照如下所示设置以下值 : 方案 = https IP 地址 = 承载 EHL 服务的系统的 IP 地址此值在 X.509 证书中应该是相同的端口 = 443 根目录 : 适合 ESRS IP 客户端安装位置在上述示例中, 根目录为 : C:\Program Files\EMC\ESRS IP Client 10

配置 ConnectHome 以验证服务器身份 SSLHASH = 上述步骤 3 中记录的 SHA 1 指纹值输入此值时不要带空格, 并且要使用大写字母 ( 如果有字母 ) o DACEB92817329422A3C8A7421874EF1E8AFF67A3 o NOT da ce b9 28 17 32 94 22 a3 c8 a7 42 18 74 ef 1e 8a ff 67 a3

11 配置 ConnectHome 以验证服务器身份 SSLHASH = 上述步骤 3 中记录的 SHA 1 指纹值输入此值时不要带空格, 并且要使用大写字母 ( 如果有字母 ) o DACEB A3C8A EF1E8AFF67A3 o NOT da ce b a3 c8 a ef 1e 8a ff 67 a3 您的对话框将与以下类似 ( 其中有些值是站点特有的 ): 7. 单击保存 8. 验证 esrshttps.exe.config 文件包括的值是否正确如果有任何值不同于预期, 可以直接编辑配置文件 9. 启动 ( 或重新启动 )EHL 服务 10. 在日志文件中验证是否已使用所提供的证书正确启动了该服务日志文件会列出正在使用的已提供 SSLHash 值, 并验证它是否位于证书存储中配置 ConnectHome 以验证服务器身份 ConnectHome 功能可以验证 EHL 服务主机的服务器身份, 但前提是已将签署颁发机构的公用证书复制到控制站中如果 EHL 主机使用的是自签署证书, 则该证书将为所提供的公用证书如果证书由内部 CA 签署, 则该证书将为 CA 的公用证书在任何一种情况下, 都要确保证书采用 PEM 形式要使 ConnectHome 功能指向正确的证书, 请使用以下命令 : nas_connecthome modify https_ca_file /path/to/cert/mycert.pem 11

12 故障排除要启用 EHL 系统地址验证, 请使用以下命令 : nas_connecthome https_verify_server yes 完成这两个命令后, 请使用以下命令验证连接 : nas_connecthome test https 故障排除如果从 ConnectHome 客户端到 EHL 服务的 HTTPS 连接不工作, 请考虑以下几点 : 验证连接是否工作, 然后再进行证书更改在一些环境中, 可能需更改内部防火墙设置验证正由 EHL 服务使用 X.509 证书中的信息 o o IP 地址是否正确? 承载 EHL 服务的系统是否具有静态 IP 地址? 证书的主机值是否与 ConnectHome 客户端使用的值相同? 它们应该具有 IP 地址或主机名不要混淆和匹配, 也不要在 X.509 证书中同时提供这两个值验证 esrshttps.exe.config 文件是否含有预期信息一定要验证指纹查看 EHL 日志目录中的 esrshttps.log 文件它可能会指示系统找不到证书或者另一服务已经在使用 HTTPS 端口 (443) 如果是后者, 请使用另一个端口或停止竞争服务有关如何更改端口的说明, 请转至 EMC 在线技术支持网站 ( 网址为并查找 EMC Secure Remote Support IP Solutions Guide (EMC 安全远程支持 IP 解决方案指南 ) 验证控制站上是否有证书颁发机构提供的适当公用 X.509 证书以及是否正确地为 ConnectHome 客户端配置了该证书 12

13 版权所有版权所有版权所有 2013 EMC Corporation 保留所有权利中国印刷 2013 年 8 月出版 EMC 确信本出版物在发布之日内容准确无误本文档中的信息可随时更改而不另行通知本出版物的内容按原样提供 EMC Corporation 对本出版物的内容不提供任何形式的陈述或担保, 明确拒绝对有特定目的的适销性或适用性进行默示担保使用复制或分发本出版物所描述的任何 EMC 软件都要有相应的软件许可证 EMC2 EMC 和 EMC 徽标是 EMC Corporation 在美国和其他国家 / 地区的注册商标或商标本文提到的所有其他商标均为其各自所有者的资产有关您的产品系列的最新法规文档, 请访问 EMC 在线支持网站上的技术文档和咨询部分 13

三安装 openssl 及 freeradius sudo apt-get install openssl sudo apt-get install freeradius 四 openssl 环境准备 1. 在 ubuntu1 和 ubuntu2 的当前用户文件夹 ( 例如 /home/jeff/

三安装 openssl 及 freeradius sudo apt-get install openssl sudo apt-get install freeradius 四 openssl 环境准备 1. 在 ubuntu1 和 ubuntu2 的当前用户文件夹 ( 例如 /home/jeff/ FortiGate 结合 Openssl + freeradius 实现多级 CA 环境下的无线用户 EAP-TLS 认证一 EAP-TLS 简介简而言之, 使用数字证书来保护 radius 认证, 与 802.1x 结合, 可以用数字证书认证无线上网用户, 是最安全的无线认证方法之一参考 :http://zh.wikipedia.org/wiki/eap#eap-tls 二实验环境如上图所示,