設定 View 的 SSL 憑證的案例 - VMware Horizon 7 7.2

Size: px

Start display at page:

Download "設定 View 的 SSL 憑證的案例 - VMware Horizon 7 7.2"

岑季昝
5 years ago
Views:

1 VMware Horizon 7 7.2

3 内容設定與 View 的 SSL 連線的案例 5 1 從憑證授權機構取得 SSL 憑證 7 判斷您是否適用此案例 7 選取正確的憑證類型 8 使用 Microsoft Certreq 產生憑證簽署要求並取得憑證 8 2 將 SSL 連線卸載至中繼伺服器 15 將 SSL 卸載伺服器的憑證匯入 View Server 15 設定 View Server 外部 URL 以將用戶端指向 SSL 卸載伺服器 20 允許來自中繼伺服器的 HTTP 連線 21 索引 23 VMware, Inc. 3

4 4 VMware, Inc.

5 設定與 View 的 SSL 連線的案例主要對象設定與 View 的 SSL 連線的案例提供設定 SSL 憑證以供 View Server 使用的範例第一個案例說明如何從憑證授權機構取得簽署的 SSL 憑證, 並確定這些憑證採用可供 View Server 使用的格式第二個案例說明如何設定 View Server, 以便將 SSL 連線卸載至中繼伺服器這項資訊適用於想要安裝 View 且需要取得 SSL 憑證以供 View Server 使用的任何人員, 或是使用中繼伺服器將 SSL 連線卸載至 View 的任何人員這些資訊是針對熟悉虛擬機器技術及資料中心作業的資深 Windows 或 Linux 系統管理員所撰寫 VMware, Inc. 5

6 6 VMware, Inc.

7 從憑證授權機構取得 SSL 憑證 1 VMware 強烈建議您設定由有效憑證授權機構 (CA) 簽署的 SSL 憑證, 以便供 View 連線伺服器執行個體安全伺服器和 View Composer 執行個體使用當您安裝 View 連線伺服器安全伺服器或 View Composer 執行個體時, 系統會產生預設的 SSL 憑證儘管您可以使用預設的自我簽署憑證進行測試, 但應盡快將其取代預設憑證並非由 CA 簽署使用未經 CA 簽署的憑證可能會讓不受信任者偽裝成您的伺服器來攔截流量在 View 環境中, 您也應將隨 vcenter Server 安裝的預設憑證取代為 CA 簽署的憑證您可以使用 openssl 針對 vcenter Server 執行此工作如需詳細資料, 請參閱 VMware Technical Papers 網站上的取代 vcenter Server 憑證, 網址為 : 本章節討論下列主題 : 判斷您是否適用此案例, 第 7 頁選取正確的憑證類型, 第 8 頁使用 Microsoft Certreq 產生憑證簽署要求並取得憑證, 第 8 頁判斷您是否適用此案例在 View 5.1 及更新版本中, 您可以將憑證匯入至 View Server 主機上的 Windows 本機電腦憑證存放區, 藉以設定 View 的憑證您必須先產生憑證簽署要求 (CSR), 並從 CA 取得有效的已簽署憑證才能匯入憑證若未根據此案例中說明的範例程序產生 CSR, 則產生的憑證及其私密金鑰必須可在 PKCS#12 ( 先前稱為 PFX) 格式的檔案中使用您可以使用多種方式從 CA 取得 SSL 憑證此案例說明如何使用 Microsoft certreq 公用程式來產生 CSR, 並使憑證可供 View Server 使用如果您熟悉必要的工具, 且伺服器上已安裝這些工具, 則可以使用其他方法使用此案例可解決下列問題 : 您沒有由 CA 簽署的 SSL 憑證, 且不知道如何取得您具有已簽署的有效 SSL 憑證, 但並非為 PKCS#12 (PFX) 格式如果您的組織為您提供由 CA 簽署的 SSL 憑證, 您可以使用這些憑證您的組織可以使用有效的內部 CA 或第三方商業 CA 如果您的憑證並非採用 PKCS#12 格式, 則必須進行轉換請參閱將憑證檔案轉換為 PKCS#12 格式, 第 17 頁如果您已擁有適當格式的已簽署憑證, 則可以將其匯入 Windows 憑證存放區中, 並設定 View Server 使用該憑證請參閱為 View Server 設定匯入的憑證, 第 13 頁 VMware, Inc. 7

8 選取正確的憑證類型您可將多種類型的 SSL 憑證用於 View 為您的部署選取正確的憑證類型十分重要憑證類型不同, 其成本也不同, 端視其可使用在的伺服器數目而定無論您選取何種憑證類型, 請務必遵循 VMware 的安全建議 : 針對憑證使用完整網域名稱 (FQDN) 請勿使用簡單伺服器名稱或 IP 位址, 即使針對內部網域內的通訊單一伺服器名稱憑證您可針對特定伺服器, 產生具有主體名稱的憑證例如 :dept.company.com 舉例來說, 如果只有一個 View 連線伺服器執行個體需要憑證, 這種類型的憑證就很有用當您提交憑證簽署要求至 CA 時, 需提供與憑證相關聯的伺服器名稱請確定 View Server 可解析您提供的伺服器名稱, 使其符合憑證關聯的名稱主體別名主體別名 (SAN) 是在核發憑證時可以新增至憑證的屬性使用此屬性新增主體名稱 (URL) 至憑證, 讓憑證可以驗證多個伺服器例如, 憑證可能會核發給具有主機名稱 dept.company.com 的伺服器您想要讓透過安全伺服器連線至 View 的外部使用者使用憑證核發憑證之前, 您可以將 SAN dept-int.company.com 新增至憑證, 讓憑證在通道啟用的情況下, 能夠在負載平衡器後方的 View 連線伺服器執行個體或安全伺服器上使用萬用字元憑證產生萬用字元憑證以用於多個服務例如 :*.company.com 如果有多個伺服器需要憑證, 萬用字元就很有用如果除了 View 以外, 您環境中還有其他應用程式需要 SSL 憑證, 您也可以為這些伺服器使用萬用字元憑證不過, 如果使用與其他服務共用的萬用字元憑證, 則 VMware Horizon 產品的安全性也會取決於上述其他服務的安全性備註萬用字元憑證只能用於單一網域層級例如, 具有主體名稱 *.company.com 的萬用字元憑證可以用於子網域 dept.company.com, 但不能用於 dept.it.company.com 使用 Microsoft Certreq 產生憑證簽署要求並取得憑證要讓憑證可供 View Server 使用, 您必須建立組態檔從組態檔產生憑證簽署要求 (CSR), 並將簽署要求傳送至 CA 當 CA 傳回憑證時, 您必須將簽署的憑證匯入至 View Server 主機上的 Windows 本機電腦憑證存放區, 使其與先前產生的私密金鑰連結 CSR 可透過多種方式產生, 這取決於憑證本身的產生方式 Microsoft certreq 公用程式可在 Windows Server 2008 R2 上使用, 且可用來產生 CSR 以及匯入簽署的憑證如果您要將要求傳送至第三方 CA, 使用 certreq 將可最快速且輕鬆地取得 View 的憑證 1 建立 CSR 組態檔第 9 頁 Microsoft certreq 公用程式會使用組態檔來產生 CSR 您必須先建立組態檔, 才能產生要求請建立組態檔, 然後在主控將使用憑證之 View Server 的 Windows Server 電腦上產生 CSR 2 產生 CSR 並向 CA 要求簽署的憑證第 10 頁使用已完成的組態檔, 您可以藉由執行 certreq 公用程式來產生 CSR 您可以將要求傳送至第三方 CA 以傳回簽署的憑證 8 VMware, Inc.

9 第 1 章從憑證授權機構取得 SSL 憑證 3 確認 CSR 及其私密金鑰皆儲存在 Windows 憑證存放區中第 11 頁如果您使用 certreq 公用程式來產生 CSR, 該公用程式也會產生相關聯的私密金鑰公用程式會在您產生 CSR 的電腦上, 將 CSR 和私密金鑰儲存在 Windows 本機電腦憑證存放區中您可以使用 Microsoft Management Console (MMC) 憑證嵌入式管理單元, 確認 CSR 和私密金鑰皆已正確儲存 4 使用 Certreq 匯入簽署的憑證第 12 頁如果您具有來自 CA 的已簽署憑證, 您可以將該憑證匯入至 View Server 主機上的 Windows 本機電腦憑證存放區中 5 為 View Server 設定匯入的憑證第 13 頁將伺服器憑證匯入至 Windows 本機電腦憑證存放區之後, 您必須採取額外的步驟讓 View Server 能夠使用該憑證建立 CSR 組態檔 Microsoft certreq 公用程式會使用組態檔來產生 CSR 您必須先建立組態檔, 才能產生要求請建立組態檔, 然後在主控將使用憑證之 View Server 的 Windows Server 電腦上產生 CSR 先決條件收集您填妥組態檔所需的資訊您必須知道 View Server 的 FQDN, 以及組織單位組織城市州和國家 / 地區才能完成主體名稱程序 1 開啟文字編輯器, 並將下列包括開始和結束標記的文字貼到檔案中 ; request.inf [Version] Signature="$Windows NT$" [NewRequest] Subject = "CN=View_Server_FQDN, OU=Organizational_Unit, O=Organization, L=City, S=State, C=Country" ; Replace View_Server_FQDN with the FQDN of the View server. ; Replace the remaining Subject attributes. KeySpec = 1 KeyLength = 2048 ; KeyLength is usually chosen from 2048, 3072, or A KeyLength ; of 1024 is also supported, but it is not recommended. HashAlgorithm = SHA256 ; Algorithms earlier than SHA-2 are insufficiently secure and are not recommended. Exportable = TRUE MachineKeySet = TRUE SMIME = False PrivateKeyArchive = FALSE UserProtected = FALSE UseExistingKeySet = FALSE ProviderName = "Microsoft RSA SChannel Cryptographic Provider" ProviderType = 12 RequestType = PKCS10 KeyUsage = 0xa0 [EnhancedKeyUsageExtension] VMware, Inc. 9

10 OID= ; this is for Server Authentication ; 如果您在複製並貼上文字時, 將額外的 CR/LF 字元新增至 Subject = 行中, 請刪除 CR/LF 字元 2 使用 View Server 和部署的適當值來更新 Subject 屬性例如 :CN=dept.company.com 若要符合 VMware 安全性建議, 請使用用戶端裝置用於連線至主機的完整網域名稱 (FQDN) 請勿使用簡單伺服器名稱或 IP 位址, 即使針對內部網域內的通訊某些 CA 不允許您對州屬性使用縮寫 3 ( 選擇性 ) 更新 Keylength 屬性除非您明確需要不同的 KeyLength 大小, 否則預設值 2048 即足夠使用許多 CA 皆需要至少 2048 的值較大的金鑰大小更為安全, 但對於效能影響較大 1024 的 KeyLength 也受支援, 但美國國家標準技術研究所 (NIST) 建議不要使用此大小的金鑰, 因為隨著電腦的效能日益強大, 更強的加密也可能遭到破解重要事項請勿產生低於 1024 的 KeyLength 值 Windows 版 Horizon Client 不會驗證 View Server 上以低於 1024 之 KeyLength 產生的憑證, 且 Horizon Client 裝置將無法連線至 View View 連線伺服器執行的憑證驗證也會失敗, 導致受影響的 View Server 在 View Administrator 儀表板上顯示為紅色 4 將檔案儲存為 request.inf 下一個從組態檔產生 CSR 產生 CSR 並向 CA 要求簽署的憑證使用已完成的組態檔, 您可以藉由執行 certreq 公用程式來產生 CSR 您可以將要求傳送至第三方 CA 以傳回簽署的憑證先決條件確認您已完成 CSR 組態檔請參閱建立 CSR 組態檔, 第 9 頁在 CSR 組態檔所在的電腦上, 執行此程序中說明的 certreq 作業程序 1 在開始功能表中的命令提示字元上按一下滑鼠右鍵, 並選取以系統管理員身分執行, 以開啟命令提示字元 2 導覽至您儲存 request.inf 檔案的目錄例如 :cd c:\certificates 3 產生 CSR 檔案例如 :certreq -new request.inf certreq.txt 10 VMware, Inc.

11 第 1 章從憑證授權機構取得 SSL 憑證 4 使用 CSR 檔案的內容以根據 CA 註冊程序將憑證要求提交至 CA a b 當您將要求提交至 CA 時,CA 會提示您選取將安裝憑證的伺服器類型由於 View 會使用 Microsoft 憑證 MMC 來管理憑證, 因此, 請選取 Microsoft Microsoft IIS 7 或類似伺服器類型的憑證 CA 應該會以搭配使用 View 所需的格式來產生憑證如果您要求單一伺服器名稱憑證, 請使用 Horizon Client 裝置可以針對此 View Server 解析 IP 位址的名稱電腦用來連線至 View Server 的名稱, 應符合與憑證相關聯的名稱備註 CA 可能會要求您將 CSR 檔案 ( 例如 certreq.txt) 的內容複製並貼上至 Web 表單中您可以使用文字編輯器複製 CSR 檔案的內容請確定包含開始和結束標記例如 : -----BEGIN NEW CERTIFICATE REQUEST----- MIID2jCCAsICAQAwazEWMBQGA1UEBhMNVW5pdGVkIFN0YXRlczELMAkGA1UECAwC Q0ExEjAQBgNVBAcMCVBhbG8gQWx0bzEKMAgGA1UECgwBTzELMAkGA1UECwwCT1Ux FzAVBgNVBAMMDm15LmNvbXBhbnkuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A L9nPYX76jeu5rwQfXLivSCea6nZiIOZYw8Dbn8dgwAqpJdzBbrwuM1TuSnx6bAK8 S52Tv0GxW58jUTtxFV+Roz8TE8wZDFB51jx+FmLs -----END NEW CERTIFICATE REQUEST----- CA 對您的公司進行某些檢查後, 即會根據 CSR 中的資訊建立伺服器憑證使用其私密金鑰進行簽署, 以及將憑證傳送給您 CA 也會將根 CA 憑證和中繼 CA 憑證 ( 如果適用 ) 傳送給您 5 將憑證文字檔重新命名為 cert.cer 請確定該檔案位於產生憑證要求的 View Server 上 6 將根 CA 和中繼 CA 憑證檔案重新命名為 root.cer 和 intermediate.cer 請確定這些檔案位於產生憑證要求的 View Server 上備註當您使用 certreq 公用程式將憑證匯入至 Windows 本機電腦憑證存放區時, 這些憑證不一定要採用 PKCS#12 (PFX) 格式如果您使用憑證匯入精靈將憑證匯入 Windows 憑證存放區中, 則需要使用 PKCS#12 (PFX) 格式下一個確認 CSR 檔案及其私密金鑰儲存在 Windows 本機電腦憑證存放區中確認 CSR 及其私密金鑰皆儲存在 Windows 憑證存放區中如果您使用 certreq 公用程式來產生 CSR, 該公用程式也會產生相關聯的私密金鑰公用程式會在您產生 CSR 的電腦上, 將 CSR 和私密金鑰儲存在 Windows 本機電腦憑證存放區中您可以使用 Microsoft Management Console (MMC) 憑證嵌入式管理單元, 確認 CSR 和私密金鑰皆已正確儲存後續必須將私密金鑰與簽署的憑證連結,View Server 才能正確匯入並使用憑證先決條件確認您已使用 certreq 公用程式產生 CSR, 且已從 CA 要求簽署的憑證請參閱產生 CSR 並向 CA 要求簽署的憑證, 第 10 頁熟悉將憑證嵌入式管理單元新增至 Microsoft Management Console (MMC) 的程序請參閱 View 安裝文件之設定 View Server 的 SSL 憑證一章中的將憑證嵌入式管理單元新增到 MMC 中 VMware, Inc. 11

12 程序 1 在 Windows Server 電腦上, 將憑證嵌入式管理單元新增到 MMC 中 2 在 Windows Server 電腦的 MMC 視窗中, 展開憑證 ( 本機電腦 ) 節點, 然後選取憑證註冊要求資料夾 3 展開憑證註冊要求資料夾, 然後選取憑證資料夾 4 確認憑證項目顯示在憑證資料夾中核發給和核發者欄位必須顯示用來產生 CSR 之 request.inf 檔案的 subject:cn 欄位中所輸入的網域名稱 5 採取下列其中一個步驟, 確認憑證包含私密金鑰 : 下一個確認憑證圖示上出現一個黃色金鑰按兩下憑證, 並確認 [ 憑證資訊 ] 對話方塊中顯示下列陳述 : 這個憑證有一個對應的私密金鑰將憑證匯入 Windows 本機電腦憑證存放區中使用 Certreq 匯入簽署的憑證如果您具有來自 CA 的已簽署憑證, 您可以將該憑證匯入至 View Server 主機上的 Windows 本機電腦憑證存放區中如果您已使用 certreq 公用程式產生 CSR, 則憑證私密金鑰會位於您產生 CSR 的本機伺服器位置若要正確運作, 憑證必須與私密金鑰結合請使用此程序中顯示的 certreq 命令, 確保憑證和私密金鑰正確結合且已匯入 Windows 憑證存放區中如果您使用其他方法取得來自 CA 的簽署憑證, 您可以使用 Microsoft Management Console (MMC) 嵌入式管理單元中的憑證匯入精靈, 將憑證匯入 Windows 憑證存放區中此方法的相關說明請參閱 View 安裝文件中的設定 View Server 的 SSL 憑證先決條件確認您已收到來自 CA 的簽署憑證請參閱產生 CSR 並向 CA 要求簽署的憑證, 第 10 頁在您產生 CSR 及儲存已簽署憑證的電腦上, 執行此程序中說明的 certreq 作業程序 1 在開始功能表中的命令提示字元上按一下滑鼠右鍵, 並選取以系統管理員身分執行, 以開啟命令提示字元 2 導覽至用來儲存已簽署憑證檔案 ( 例如 cert.cer) 的目錄例如 :cd c:\certificates 3 執行 certreq -accept 命令以匯入簽署的憑證例如 :certreq -accept cert.cer 憑證會匯入 Windows 本機電腦憑證存放區中下一個設定要由 View Server 使用的已匯入憑證請參閱為 View Server 設定匯入的憑證, 第 13 頁 12 VMware, Inc.

13 第 1 章從憑證授權機構取得 SSL 憑證為 View Server 設定匯入的憑證將伺服器憑證匯入至 Windows 本機電腦憑證存放區之後, 您必須採取額外的步驟讓 View Server 能夠使用該憑證程序 1 確認伺服器憑證已成功匯入 2 將憑證的易記名稱變更為 vdm vdm 必須為小寫任何具有易記名稱 vdm 的其他憑證皆必須重新命名, 或者, 您必須從那些憑證中移除易記名稱您不需要修改 View Composer 所使用之憑證的易記名稱 3 將根 CA 憑證和中繼 CA 憑證安裝在 Windows 憑證存放區中 4 重新啟動 View 連線伺服器服務安全伺服器服務或 View Composer 服務, 讓服務能夠開始使用新的憑證 5 如果您在 VMware Horizon View 5.2 或更新版本中使用 HTML Access, 請重新啟動 VMware View Blast 安全閘道服務 6 如果您要在 View Composer Server 上設定憑證, 則可能必須採取其他步驟如果您在安裝 View Composer 之後設定新的憑證, 則必須執行 SviConfig ReplaceCertificate 公用程式以取代繫結至 View Composer 使用之連接埠的憑證如果您在安裝 View Composer 之前設定新的憑證, 則不需執行 SviConfig ReplaceCertificate 公用程式執行 View Composer 安裝程式時, 您可以選取 CA 簽署的新憑證, 而非預設的自我簽署憑證如需詳細資訊, 請參閱 View 安裝文件中的將新的 SSL 憑證繫結至 View Composer 使用的連接埠若要執行此程序中的工作, 請參閱下列主題 : 修改憑證易記名稱, 第 19 頁將根憑證和中繼憑證匯入 Windows 憑證存放區中, 第 19 頁如需詳細資訊, 請參閱 View 安裝文件中的設定 View 連線伺服器安全伺服器或 View Composer 以使用新的 SSL 憑證備註此處並未列出 View 安裝的將簽署的伺服器憑證匯入 Windows 憑證存放區主題, 因為您已使用 certreq 公用程式匯入伺服器憑證您不應使用 MMC 嵌入式管理單元中的憑證匯入精靈再次匯入伺服器憑證不過, 您可以使用憑證匯入精靈將根 CA 憑證和中繼 CA 憑證匯入至 Windows 憑證存放區 VMware, Inc. 13

14 14 VMware, Inc.

15 將 SSL 連線卸載至中繼伺服器 2 您可以在 View Server 與 Horizon Client 裝置之間設定中繼伺服器, 以執行負載平衡和卸載 SSL 連線等工作 Horizon Client 裝置會透過 HTTPS 連線至中繼伺服器, 這會將連線傳遞至面向外部的 View 連線伺服器執行個體或安全伺服器若要將 SSL 連線卸載至中繼伺服器, 您必須完成幾項重要工作 : 將中繼伺服器所使用的 SSL 憑證匯入至面向外部的 View Server 在面向外部的 View Server 上設定外部 URL, 使其符合可讓用戶端用來連線至中繼伺服器的 URL 允許中繼伺服器與 View Server 之間的 HTTP 連線本章節討論下列主題 : 將 SSL 卸載伺服器的憑證匯入 View Server, 第 15 頁設定 View Server 外部 URL 以將用戶端指向 SSL 卸載伺服器, 第 20 頁允許來自中繼伺服器的 HTTP 連線, 第 21 頁將 SSL 卸載伺服器的憑證匯入 View Server 如果您將 SSL 連線卸載至中繼伺服器, 您必須將中繼伺服器的憑證匯入到連線至中繼伺服器的 View 連線伺服器執行個體或安全伺服器同一個 SSL 伺服器憑證必須位於正在卸載的中繼伺服器, 以及連線至中繼伺服器的已卸載 View Server 上如果您要部署安全伺服器, 則中繼伺服器以及連線到該伺服器的安全伺服器必須具有相同的 SSL 憑證您不必在與安全伺服器配對的 View 連線伺服器執行個體上安裝同一個 SSL 憑證, 也請勿直接連線至中繼伺服器如果您不想部署安全伺服器, 或您的網路環境混用了某些安全伺服器與某些面向外部的 View 連線伺服器執行個體, 則中繼伺服器及任何與其連線的 View 連線伺服器執行個體必須具有相同的 SSL 憑證如果中繼伺服器的憑證未安裝在 View 連線伺服器執行個體或安全伺服器上, 用戶端便無法驗證與 View 之間的連線在此情況下,View Server 傳送的憑證指紋與 Horizon Client 所連線的中繼伺服器上的憑證不相符請勿將負載平衡與 SSL 卸載混淆前者的需求適用於任何設定為提供 SSL 卸載的裝置, 包括某些類型的負載平衡器然而, 單純的負載平衡不需要在裝置之間複製憑證重要事項下列主題中所述的案例, 說明了在第三方元件與 VMware 元件之間共用 SSL 憑證的方法此方法可能並非適合所有人, 而且也不是執行此工作的唯一方式 1 從中繼伺服器下載 SSL 憑證第 16 頁您必須下載安裝在中繼伺服器上的 CA 簽署 SSL 憑證, 使其能夠匯入面向外部的 View Server 中 VMware, Inc. 15

16 2 從中繼伺服器下載私密金鑰第 17 頁您必須在中繼伺服器上下載與 SSL 憑證相關聯的私密金鑰私密金鑰必須連同憑證匯入 View Server 中 3 將憑證檔案轉換為 PKCS#12 格式第 17 頁如果您已取得 PEM 或其他格式的憑證及其私密金鑰, 您必須將其轉換為 PKCS#12 (PFX) 格式, 才能將憑證匯入至 View Server 上的 Windows 憑證存放區如果您在 Windows 憑證存放區中使用憑證匯入精靈, 則需要使用 PKCS#12 (PFX) 格式 4 將簽署的伺服器憑證匯入 Windows 憑證存放區第 18 頁您必須將 SSL 伺服器憑證匯入至安裝 View 連線伺服器執行個體或安全伺服器服務所在 Windows Server 主機上的 Windows 本機電腦憑證存放區中 5 修改憑證易記名稱第 19 頁若要設定 View 連線伺服器執行個體或安全伺服器辨識並使用 SSL 憑證, 您必須將憑證易記名稱修改為 vdm 6 將根憑證和中繼憑證匯入 Windows 憑證存放區中第 19 頁您必須將根憑證和憑證鏈結中的任何中繼憑證匯入 Windows 本機電腦憑證存放區中從中繼伺服器下載 SSL 憑證您必須下載安裝在中繼伺服器上的 CA 簽署 SSL 憑證, 使其能夠匯入面向外部的 View Server 中程序 1 連線至中繼伺服器, 然後尋找為傳送 HTTPS 要求之用戶端所提供的 SSL 憑證 2 尋找並下載用於 View 的 SSL 憑證範例 2 1. 從 F5 BIG-IP LTM 系統下載 SSL 憑證此範例會使用 F5 BIG-IP Local Traffic Manager (LTM) 作為中繼伺服器此範例旨在為您提供如何從您自己的中繼伺服器下載憑證的一般概念重要事項這些是專屬於 F5 BIG-IP LTM 的步驟, 可能不適用於新版本或其他 F5 產品這些步驟不適用於其他廠商的中繼伺服器開始之前, 請確認已使用 View 部署 F5 BIG-IP LTM 系統請確認您已完成 F5 部署指南使用 VMware View 部署 BIG-IP LTM 系統 ( 位於上 ) 中的工作 1 連線至 F5 BIG-IP LTM 組態公用程式 2 在導覽窗格的 [ 主要 ] 索引標籤上展開本機流量, 然後按一下 SSL 憑證公用程式會顯示系統上安裝的憑證清單 3 在 [ 名稱 ] 資料行中, 按一下用於 View 的憑證名稱 4 在畫面底部, 按一下匯出公用程式會在憑證文字方塊中顯示現有的 SSL 憑證 5 在憑證檔案設定中, 按一下下載 file_name SSL 憑證會以 CRT 檔案的形式下載 16 VMware, Inc.

17 第 2 章將 SSL 連線卸載至中繼伺服器從中繼伺服器下載私密金鑰您必須在中繼伺服器上下載與 SSL 憑證相關聯的私密金鑰私密金鑰必須連同憑證匯入 View Server 中程序 1 連線至中繼伺服器, 然後尋找為傳送 HTTPS 要求之用戶端所提供的 SSL 憑證 2 尋找用於 View 的憑證, 並下載其私密金鑰範例 2 2. 從 F5 BIG-IP LTM 系統下載私密金鑰此範例會使用 F5 BIG-IP Local Traffic Manager (LTM) 作為中繼伺服器此範例旨在為您提供如何從您自己的中繼伺服器下載私密金鑰的一般概念重要事項這些是專屬於 F5 BIG-IP LTM 的步驟, 可能不適用於新版本或其他 F5 產品這些步驟不適用於其他廠商的中繼伺服器開始之前, 請確認您已連線至 F5 BIG-IP LTM 組態公用程式 1 在導覽窗格的 [ 主要 ] 索引標籤上展開本機流量, 然後按一下 SSL 憑證公用程式會顯示系統上安裝的憑證清單 2 在 [ 名稱 ] 資料行中, 按一下用於 View 的憑證名稱 3 在功能表列上, 按一下金鑰 4 在畫面底部, 按一下匯出公用程式會在金鑰文字方塊中顯示現有的私密金鑰 5 在 [ 金鑰檔案 ] 設定中, 按一下下載 file_name 私密金鑰會以 KEY 檔案的形式下載將憑證檔案轉換為 PKCS#12 格式如果您已取得 PEM 或其他格式的憑證及其私密金鑰, 您必須將其轉換為 PKCS#12 (PFX) 格式, 才能將憑證匯入至 View Server 上的 Windows 憑證存放區如果您在 Windows 憑證存放區中使用憑證匯入精靈, 則需要使用 PKCS#12 (PFX) 格式您可以透過下列其中一種方式取得憑證檔案 : 您可以從 CA 取得憑證金鑰儲存區檔案您可以從 View 部署中設定的中繼伺服器下載憑證及其私密金鑰您的組織會為您提供憑證檔案憑證檔案具有各種的格式例如,PEM 格式通常用於 Linux 環境中您的檔案可能具有包含下列副檔名的憑證檔案金鑰檔案和 CSR 檔案 : server.crt server.csr server.key CRT 檔案包含 CA 所傳回的 SSL 憑證 CSR 檔案是不需要的原始憑證簽署要求檔案 KEY 檔案包含私密金鑰 VMware, Inc. 17

18 先決條件確認系統已安裝 OpenSSL 您可以從下載 openssl 確認 CA 傳回之 SSL 憑證的根憑證也可以在系統上使用程序 1 將 CRT 和 KEY 檔案複製到 OpenSSL 安裝目錄例如 :cd c:\openssl-win32\bin 2 開啟 Windows 命令提示字元, 然後視需要導覽至 OpenSSL 安裝目錄 3 從憑證檔案和您的私密金鑰產生 PKCS#12 (PFX) 金鑰儲存區檔案例如 :openssl pkcs12 -export -out server.p12 -inkey server.key -in server.crt -certfile CACert.crt 在此範例中,CACert.crt 是憑證授權機構所傳回之根憑證的名稱 Windows 憑證存放區也接受以 PFX 副檔名產生的金鑰儲存區例如 :-out server.pfx 4 輸入匯出密碼以保護 PKCS#12 (PFX) 檔案將簽署的伺服器憑證匯入 Windows 憑證存放區您必須將 SSL 伺服器憑證匯入至安裝 View 連線伺服器執行個體或安全伺服器服務所在 Windows Server 主機上的 Windows 本機電腦憑證存放區中此案例使用了 PKCS#12 (PFX) 格式的憑證檔案根據您的憑證檔案格式而定, 包含在 keystore 檔案中的整個憑證鏈結可能會匯入至 Windows 本機電腦憑證存放區例如, 可能會匯入伺服器憑證中繼憑證和根憑證對於其他類型的憑證檔案, 只會將伺服器憑證匯入至 Windows 本機電腦憑證存放區在此情況下, 您必須採取額外的步驟, 以匯入憑證鏈結中的根憑證和任何中繼憑證如需憑證的詳細資訊, 請參閱 MMC 的憑證嵌入式管理單元中提供的 Microsoft 線上說明先決條件確認 SSL 伺服器憑證是否為 PKCS@12 (PFX) 格式請參閱將憑證檔案轉換為 PKCS#12 格式, 第 17 頁程序 1 在 Windows Server 主機的 MMC 視窗中, 展開憑證 ( 本機電腦 ) 節點, 並選取個人資料夾 2 在動作窗格中, 移至更多動作 > 所有工作 > 匯入 3 在憑證匯入精靈中, 按下一步並瀏覽至儲存憑證所在的位置 4 選取憑證檔案, 然後按一下開啟若要顯示憑證檔案類型, 可以從檔案名稱下拉式功能表選取其檔案格式 5 為包含在憑證檔案中的私密金鑰輸入密碼 6 選取將這個金鑰設成可匯出 7 選取包含所有延伸內容 8 按下一步, 然後再按一下完成新憑證會出現在憑證 ( 本機電腦 ) > 個人 > 憑證資料夾中 18 VMware, Inc.

19 第 2 章將 SSL 連線卸載至中繼伺服器 9 確認新憑證包含私密金鑰 a b 在憑證 ( 本機電腦 ) > 個人 > 憑證資料夾中, 按兩下新憑證在憑證資訊對話方塊的一般索引標籤中, 確認出現下列陳述 : 您有對應此憑證的私密金鑰下一個將憑證易記名稱修改為 vdm 修改憑證易記名稱若要設定 View 連線伺服器執行個體或安全伺服器辨識並使用 SSL 憑證, 您必須將憑證易記名稱修改為 vdm 先決條件確認伺服器憑證已匯入 Windows 憑證存放區的憑證 ( 本機電腦 ) > 個人 > 憑證資料夾內請參閱將簽署的伺服器憑證匯入 Windows 憑證存放區, 第 18 頁程序 1 在 Windows Server 主機的 MMC 視窗中, 展開憑證 ( 本機電腦 ) 節點, 並選取個人 > 憑證資料夾 2 以滑鼠右鍵按一下核發給 View Server 主機的憑證, 並按一下內容 3 在一般索引標籤上, 刪除易記名稱文字並輸入 vdm 4 按一下套用, 然後再按一下確定 5 確認在 Personal > Certificates 資料夾中不存在其他使用易記名稱 vdm 的伺服器憑證 a b 找到任何其他伺服器憑證, 在憑證上按一下滑鼠右鍵, 然後按一下內容如果該憑證具有易記名稱 vdm, 則將其刪除, 按一下套用, 然後按一下確定下一個將根憑證和中繼憑證匯入至 Windows 本機電腦憑證存放區匯入鏈結中的所有憑證後, 您必須重新啟動 View 連線伺服器服務或安全伺服器服務, 才能讓變更生效將根憑證和中繼憑證匯入 Windows 憑證存放區中您必須將根憑證和憑證鏈結中的任何中繼憑證匯入 Windows 本機電腦憑證存放區中如果您從中繼伺服器匯入的 SSL 伺服器憑證是由 View 連線伺服器主機已知且信任的根 CA 所簽署, 且您的憑證鏈結中沒有中繼憑證, 則可略過此工作主機可能會信任常用的憑證授權機構程序 1 在 Windows Server 主機的 MMC 主控台中, 展開憑證 ( 本機電腦 ) 節點, 然後移至受信任的根憑證授權單位 > 憑證資料夾如果您的根憑證位於此資料夾中, 而且憑證鏈結中沒有任何中繼憑證, 請跳至步驟 7 如果您的根憑證位於此資料夾中, 且憑證鏈結中有中繼憑證, 請跳至步驟 6 如果您的根憑證不在此資料夾中, 請繼續進行步驟 2 2 以滑鼠右鍵按一下信任的根憑證授權機構 > 憑證資料夾, 然後按一下所有工作 > 匯入 3 在憑證匯入精靈中, 按下一步並瀏覽至儲存根 CA 憑證所在的位置 4 選取根 CA 憑證檔案, 然後按一下開啟 5 依序按下一步下一步, 然後按一下完成 VMware, Inc. 19

20 6 如果您的伺服器憑證是由中繼 CA 所簽署, 請將憑證鏈結中的所有中繼憑證匯入至 Windows 本機電腦憑證存放區 a 移至憑證 ( 本機電腦 ) > 中繼憑證授權機構 > 憑證資料夾 b 針對必須匯入的每個中繼憑證重複步驟 3 到 6 7 重新啟動 View 連線伺服器服務或安全伺服器服務, 讓變更生效 8 如果您在 VMware Horizon View 5.2 或更新版本中使用 HTML Access, 請重新啟動 VMware View Blast 安全閘道服務設定 View Server 外部 URL 以將用戶端指向 SSL 卸載伺服器如果將 SSL 卸載至中繼伺服器, 並且 Horizon Client 裝置使用安全通道與 View 連線, 您必須將安全通道外部 URL 設定為可供用戶端存取中繼伺服器的位址您可以在 View 連線伺服器執行個體, 或是與中繼伺服器連線的安全伺服器上, 設定外部 URL 設定如果您部署安全伺服器, 安全伺服器需要外部 URL, 而與安全伺服器配對的 View 連線伺服器執行個體則不需要如果您沒有部署安全伺服器, 或者您擁有隨附部分安全伺服器和部分面向外部的 View 連線伺服器執行個體的混合型網路環境, 則連線至中繼伺服器的任何 View 連線伺服器執行個體均需要外部 URL 備註您無法從 PCoIP 安全閘道 (PSG) 或 Blast 安全閘道卸載 SSL 連線 PCoIP 外部 URL 和 Blast 安全閘道外部 URL 必須允許用戶端連線至主控 PSG 和 Blast 安全閘道的電腦除非您計劃需要中繼伺服器和 View 伺服器之間的 SSL 連線, 否則請勿重設 PCoIP 外部 URL 和 Blast 外部 URL 指向中繼伺服器設定 View 連線伺服器執行個體的外部 URL 您要使用 View Administrator 設定 View 連線伺服器執行個體的外部 URL 先決條件確認已在 View 連線伺服器執行個體上開啟安全通道連線程序 1 在 View Administrator 中, 按一下 View 組態 > 伺服器 2 依序選取連線伺服器索引標籤和 View 連線伺服器執行個體, 然後按一下編輯 3 在外部 URL 文字方塊中輸入安全通道外部 URL URL 必須包含通訊協定用戶端可解析的主機名稱與連接埠號碼例如 : 備註主機名稱無法解析時, 如果您必須存取 View 連線伺服器執行個體, 可以使用 IP 位址不過, 您聯繫的主機將不符合針對 View 連線伺服器執行個體設定的 SSL 憑證, 因而導致存取遭封鎖, 或只能在降低安全性的情況下存取 4 確認此對話方塊中的所有位址皆允許用戶端系統連線此 View 連線伺服器執行個體 5 按一下確定 20 VMware, Inc.

21 第 2 章將 SSL 連線卸載至中繼伺服器修改安全伺服器的外部 URL 您要使用 View Administrator 修改安全伺服器的外部 URL 先決條件確認已在與此安全伺服器配對的 View 連線伺服器執行個體上啟用安全通道連線程序 1 在 View Administrator 中, 選取 View 組態 > 伺服器 2 選取安全伺服器索引標籤, 選取安全伺服器, 然後按一下編輯 3 在外部 URL 文字方塊中輸入安全通道外部 URL URL 必須包含通訊協定用戶端可解析的安全伺服器主機名稱, 以及連接埠號碼例如 : 備註主機名稱無法解析時, 如果您必須存取安全伺服器, 可以使用 IP 位址不過, 您聯繫的主機將不符合針對安全伺服器設定的 SSL 憑證, 因而導致存取遭封鎖, 或只能在降低安全性的情況下存取 4 確認此對話方塊中的所有位址皆允許用戶端系統連線此安全伺服器主機 5 按一下確定儲存變更 View Administrator 會將更新的外部 URL 傳送至安全伺服器您不需要重新啟動安全伺服器服務, 變更就會生效允許來自中繼伺服器的 HTTP 連線將 SSL 卸載至中繼伺服器時, 您可以設定 View 連線伺服器執行個體或安全伺服器, 以允許從面向用戶端的中繼裝置進行 HTTP 連線中繼裝置必須接受 HTTPS, 才能進行 Horizon Client 連線若要允許 View Server 與中繼裝置之間的 HTTP 連線, 您必須在每個允許 HTTP 連線的 View 連線伺服器執行個體及安全伺服器上設定 locked.properties 檔案雖然允許 View Server 與中繼裝置之間的 HTTP 連線, 但是您無法在 View 中停用 SSL View Server 將繼續接受 HTTPS 連線及 HTTP 連線備註如果 Horizon Client 使用智慧卡驗證, 用戶端必須向 View 連線伺服器或安全伺服器直接進行 HTTPS 連線智慧卡驗證不支援 SSL 卸載程序 1 在 View 連線伺服器或安全伺服器主機上的 SSL 閘道組態資料夾中, 建立或編輯 locked.properties 檔案例如 :install_directory\vmware\vmware View\Server\sslgateway\conf\locked.properties 2 若要設定 View Server 的通訊協定, 請新增 serverprotocol 屬性, 並將其設定為 http 必須以小寫輸入值 http 3 ( 選擇性 ) 新增屬性, 設定 View Server 上非預設的 HTTP 接聽連接埠及網路介面若要變更為 80 以外的 HTTP 接聽連接埠, 請將 serverportnonssl 設為設定中繼裝置連接的其他連接埠號碼 VMware, Inc. 21

22 如果 View Server 有多個網路介面, 而且您想要伺服器僅接聽一個介面的 HTTP 連線, 請將 serverhostnonssl 設定為該網路介面的 IP 位址 4 儲存 locked.properties 檔案 5 重新啟動 View 連線伺服器服務或安全伺服器服務, 讓變更生效範例 2 3. locked.properties 檔案此檔案允許 View Server 的非 SSL HTTP 連線 View Server 之面向用戶端網路介面的 IP 位址為伺服器使用預設連接埠 80 接聽 HTTP 連線值 http 必須為小寫 serverprotocol=http serverhostnonssl= VMware, Inc.

23 索引字母 certreq 產生 CSR 8 匯入憑證 12 HTTP, 允許 SSL 卸載 21 locked.properties 檔案, 卸載 SSL 連線 21 PEM 格式憑證, 轉換為 PKCS#12 17 PFX 憑證格式, 轉換為 17 PKCS#12 格式憑證, 轉換為 17 SSL 為中繼伺服器設定外部 URL 20 將憑證匯入至 View Server 15 SSL 憑證使用中繼伺服器進行設定 5 取得 5 從 CA 取得 7 View 連線伺服器組態, 外部 URL 20 Windows 憑證存放區, 匯入憑證 18 十六劃憑證取得 5 易記名稱 19 從 CA 取得 7 設定匯入的憑證 13 匯入至 Windows 憑證存放區 12 準備 Windows 憑證存放區 7 選取憑證類型 8 憑證簽署要求在憑證存放區中確認 11 產生 8, 10 組態檔案 9 四劃中繼伺服器, 下載憑證 16 中繼伺服器, 下載私密金鑰 17 中繼伺服器, 卸載 SSL 15 中繼憑證, 匯入 19 五劃主要對象 5 外部 URL 針對 View 連線伺服器執行個體設定 20 針對安全伺服器修改 21 六劃安全伺服器, 修改外部 URL 21 七劃私密金鑰, 在憑證存放區中確認 11 八劃易記名稱, 針對 SSL 憑證修改 19 十劃根憑證, 匯入 19 十二劃詞彙 5 VMware, Inc. 23

24 24 VMware, Inc.

SSL 數位憑證 OpenVPN 安裝說明

SSL 數位憑證 OpenVPN 安裝說明目錄一產生憑證請求檔... 1 二憑證安裝... 3 1. 安裝憑證 - Server 端... 3 [ CentOS or RedHat ]... 3 [ Windows ]... 3 2. 安裝憑證 - Client 端... 4 [ CentOS or RedHat ]... 4 [ Windows ]... 4 三憑證匯出 ( 伺服器憑證匯出