电子商业汇票系统参与者接入端测试网络连接方案

Size: px

Start display at page:

Download "电子商业汇票系统参与者接入端测试网络连接方案"

针慧明
4 years ago
Views:

CISCO 基于第三方 CA 证书的 ipsec vpn 的配置一配置步骤以下配置以 CISCO 设备为例 1. 更改路由器名称, 并配置路由器所在域名, 路由器名称和域名将与申请证书关联, 在域名和证书修改后, 证书将失效更改路由器名称和证书命令 : cisco(config)#hostname abc( 自己定义 ) abc(config)#ip domain-name abc.

1 CISCO 基于第三方 CA 证书的 ipsec vpn 的配置一配置步骤以下配置以 CISCO 设备为例 1. 更改路由器名称, 并配置路由器所在域名, 路由器名称和域名将与申请证书关联, 在域名和证书修改后, 证书将失效更改路由器名称和证书命令 : cisco(config)#hostname abc( 自己定义 ) abc(config)#ip domain-name abc.com 2. 查看路由器上时钟, 是否与 CA 服务器时钟 ( 以北京时间为准, 不要相差太大 ) 一致, 时钟不一致有可能导致 CA 证书失效或未启用, 查看修改正确时钟, 命令如下 : abc#show clock *06:30: UTC Fri Mar abc#clock set 14:30:00 mar 配置路由器接口地址, 测试路由器外口能 ping 通防火墙外口地址 abc(config)#int f0 abc(config-if)#ip add XXX.XXX.XXX.XXX ( 公网地址 ) abc(config-if)#no shut 4. 创建路由器证书, 并配置成手动导入证书 4.1 定义路由器加密集, 路由器默认是 512, 需要修改, 输入 1024 即可 abc(config)#crypto key generate rsa The name for the keys will be: abc.abc.com Choose the size of the key modulus in the range of 360 to 2048 for your General Purpose Keys. Choosing a key modulus greater than 512 may take a few minutes. How many bits in the modulus [512]: 将以下根证书导入到思科路由器中 ( 该文件为对象, 可直接复制, 如无法复制 ) 1

2 下载证书后, 用记事本打开, 出现根证书字符串之后配置 CISCO 路由器导入根证书, 命令如下 : abc(config)#crypto pki trustpoint abc // 定义 CA 证书名称 // abc(ca-trustpoint)#enrollment terminal // 定义证书获得方式, 手动导入 // abc(ca-trustpoint)#subject-name cn=abc,ou=abc,dc=abc,dc=com abc(ca-trustpoint)#revocation-check none // 不检查证书是否吊销 // 使用命令 crypto pki authenticate abc, 导入 abc 的根证书 abc(config)#crypto pki authenticate abc Enter the base 64 encoded CA certificate. End with a blank line or the word "quit" on a line by itself -----BEGIN CERTIFICATE----- MIIEVjCCAz6gAwIBAgIQL6VFw+GLlK1JMfyzVmO2UjANBgkqhkiG9w0BAQUFA DA7 MRMwEQYKCZImiZPyLGQBGRYDY29tMRUwEwYKCZImiZPyLGQBGRYFY25j Y3QxDTAL BgNVBAMTBGNuY2MwHhcNMTAwMzIzMDU0MzE4WhcNMTUwMzIzMDU1Mj UyWjA7 Dpd8KOeffdgXpJHLxcTtlmi282lIfX7hpvcnp0baXeIxawxKd1sUgtMBjfpmu8ez kbrq3e48n5ueczch/l5iluxwijqocdeymx26gywxiypcnrg/3rtryye3bjo5hqll KVZGABreB7GNrQ== -----END CERTIFICATE----- quit 并用 quit 命令退出根证书, 退出后系统会弹出对话框, 询问是否接受证书 Certificate has the following attributes: Fingerprint MD5: 25A595E5 3F B82E80E B51 Fingerprint SHA1: 1F28E4B2 BF190E E4 21D1C4AD 45897B54 % Do you accept this certificate? [yes/no]: 2

3 输入 yes 接受证书 4.3 在路由器上查看路由器注册信息 abc(config)#cry pki enroll abc % Start certificate enrollment.. % The subject name in the certificate will include: cn=abc,ou=abc,dc=abc,dc=com % The subject name in the certificate will include: abc.abc.com % Include the router serial number in the subject name? [yes/no]: no % Include an IP address in the subject name? [no]: no Display Certificate Request to terminal? [yes/no]: yes Certificate Request follows: MIIBwzCCASwCAQAwYjETMBEGCgmSJomT8ixkARkWA2NvbTETMBEGCgmS JomT8ixk ARkWA2NjYjEMMAoGA1UECxMDY2NiMQwwCgYDVQQDEwNjY2IxGjAYBgk qhkig9w0b CQIWC2NjYi5jY2IuY29tMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ DvgG55 ga2jhwrzve2j5hgtmii/o4ucfhh6wuru696txxz740b2wsq0imnqtbq5ieycon 0M 0vbpDvNqDVBXGjBWKLs6xjD8rZ7qRL7gM6LvR3ujkTI/xSP76G1ANUKUko6B muy5 euk6mpenpxlrywoiuekdvofwohhiuki1cvygzwidaqabocewhwyjkozihvcn AQkO MRIwEDAOBgNVHQ8BAf8EBAMCBaAwDQYJKoZIhvcNAQEEBQADgYEASG hcsrzuzjbs JwicbkQ8tgfKcQPG5SVpst07bqxMR/vid/E0kvqwaBuO+rjUyCDQHqaGkAMrIb2t 2LFlOXXV6bk2A0/fegCynxb8W9oc2DMgimBbXbVVWw/FRxo93V5JYlTHgxbIAJ yp lhajjzllqpyw4gtdjem6yowuil/3sv4= ---End - This line not part of the certificate request--- Redisplay enrollment request? [yes/no]:no 路由器会询问是否带设备序列号和 IP 地址, 是否再次查看信息需要复制字符串申请 CA 证书将此字符串复制下来, 相关机构的负责人会根据此字符串再次生成一个准入证书 4.4 申请证书并导入到思科路由器中, 在收到准入证书后仍然用记事本方式打开证书, 复制字符串 abc(config)#crypto pki import abc certificate Enter the base 64 encoded certificate. End with a blank line or the word "quit" on a line by itself 3

4 -----BEGIN CERTIFICATE----- MIIFmzABCIOgAwIBAgIKYQhzJQAAAAAAFDANBgkqhkiG9w0BAQUFADA7MR MwEQYK CZImiZPyLGQBGRYDY29tMRUwEwYKCZImiZPyLGQBGRYFY25jY3QxDTALBg NVBAMT BGNuY2MwHhcNMTAwMzI2MDY1MTQwWhcNMTIwMzI1MDY1MTQwWjBiMR owgayj bmnjlmnyddaubggrbgefbqcwayyiahr0cdovlze5os4xljiumtavy2vydgvuc m9v mg3qhtj5pvy01s82zlvrxjntanmkr71gbqmkqk32zlq4wmyvoohzcveyxuw57 Dna ZZwKqoKwIFHH6U9YSs+8zT8iEall52+TcvIkZlLANWFwlGy/kBtUt+fPVC0UC0FZ YHDPU2vti5iiSxmMvVchQPyoHxvfZc+zmjkVHr1E6XvHXlE3ziLNGchOckiomxo= -----END CERTIFICATE----- quit % Router Certificate successfully imported 使用 crypto pki import abc certificate 命令导入证书, 使用 quit 命令推出证书导入, 系统提示路由器证书导入成功, 可以使用 show crypto pki certificates 查看证书信息 abc#show crypto pki certificates Certificate Status: Available Certificate Serial Number: 0x Certificate Usage: General Purpose Issuer: cn=cncc dc=cncct dc=com Subject: Name: abc.abc.com cn=abc ou=abc dc=abc dc=com hostname=abc.abc.com CRL Distribution Points: ldap:///cn=cncc,cn=7bc5c8e1c0b7405,cn=cdp,cn=public%20key%20services,c N=Services,CN=Configuration,DC=cncct,DC=com?certificateRevocationList?base?ob jectclass=crldistributionpoint Validity Date: start date: 06:51:40 UTC Mar end date: 06:51:40 UTC Mar Associated Trustpoints: abc 4

5 CA Certificate Status: Available Certificate Serial Number: 0x2FA545C3E18B94AD4931FCB35663B652 Certificate Usage: Signature Issuer: cn=cncc dc=cncct dc=com Subject: cn=cncc dc=cncct dc=com CRL Distribution Points: ldap:///cn=cncc,cn=7bc5c8e1c0b7405,cn=cdp,cn=public%20key%20services, CN=Services,CN=Configuration,DC=cncct,DC=com?certificateRevocationList?bas e?objectclass=crldistributionpoint Validity Date: start date: 05:43:18 UTC Mar end date: 05:52:52 UTC Mar Associated Trustpoints: abc 5. 配置路由器与对端 vpn 设备的 IPSEC VPN 步骤 5.1 定义感兴趣流, 触发 VPN 建立的流量 access-list 100 permit ip XXX.XXX.XXX 从本地 ip 地址到对端的流量 5.2 定义与对端 VPN 建立的连接策略 crypto isakmp policy 10 // 定义策略 10// authentication rsa-sig // 采用 CA 证书认证 // encryption 3des // 加密方式采用 3des// hash md5 //hash 算法采用 MD5// group 2 lifetime 7200 // 生存时间为 7200 秒, 默认是 86400// 匹配策略时, 先匹配数字小的策略一个策略可以被多个策略调用 5.3 定义 VPN 第二阶段 IPSEC 传输阶段 abc(config) crypto ipsec transform-set set1 esp-3des esp-sha-hmac // 定义 set1 传输 ESP 加密和身份认证方式为 esp-3des 和 esp-sha-hmac// abc(config)crypto ipsec security-association lifetime seconds 7200 // 定义 IPSEC 隧道保持时间为 7200 秒 // abc(config)#cry map vpnmap 10 ipsec-isakmp // 创建 vpnmap 10 是 L2L 模式 VPN// abc(config-crypto-map)#set peer

6 // 定义 vpnmap 10 的对端 IP 为 // abc(config-crypto-map) set transform-set set1 // 定义 map1 10 调用 set1 加密方式 // abc(config-crypto-map)#match address 100 // 定义触发 vpn 的感兴趣流为 acl 100// abc(config)#int f0 abc(config-if)#crypto map vpnmap //vpn 策略应用到 F0 口上 // 5.4 查看双方 IPSEC VPN 建立情况, 命令如下 : vpnserver# show cry isakmp sa vpnserver# show cry ipsec sa 二 ASA 防火墙配置步骤以下配置以 CISCO ASA 防火墙设备为例 1. 更改防火墙名称, 并配置防火墙所在域名, 防火墙名称和域名将与申请证书关联, 在域名和证书修改后, 证书将失效更改防火墙名称和证书命令 : asa(config)# hostname abc abc(config)# domain-name abc.com 2. 查看防火墙上时钟, 是否与 CA 服务器时钟一致, 时钟不一致有可能导致 CA 证书失效或未启用, 查看修改正确时钟, 命令如下 : abc# show clock 14:27: bj Fri Mar abc # clock set 14:28:00 mar ASA 防火墙指定接口 IP 地址配置, 指定为内外接口测试 ping 通人行防火墙外口 ip 地址. interface GigabitEthernet0/0 nameif inside security-level 100 ip address XXX.XXX.XXX.XXX interface GigabitEthernet0/3 nameif outside security-level 0 ip address XXX.XXX.XXX.XXX ( 自己的公网地址 ) 4. 创建防火墙证书, 并配置成手动导入证书 4.1 定义路由器加密集,. abc(config)# crypto key generate rsa WARNING: You have a RSA keypair already defined named <Default-RSA-Key>. Do you really want to replace them? [yes/no]: yes Keypair generation process begin. Please wait 将根证书并导入到思科防火墙中, ( 该文件为对象, 可直接复制, 如无法复制, 可以 6

7 去邮箱中下载 ) 右键或把证书拖拽到记事本中, 用记事本打开, 出现根证书字符串之后配置 cisco 路由器导入根证书, 命令如下 : abc(config)# crypto ca trustpoint abc // 创建证书 ABC// abc(config-ca-trustpoint)# enrollment terminal // 手动导入证书 // abc(config-ca-trustpoint)# subject-name ou=abc,dc=abc,dc=com abc(config)# crypto ca authenticate abc // 导入 CA 根证书 // Enter the base 64 encoded CA certificate. End with the word "quit" on a line by itself -----BEGIN CERTIFICATE----- MIIEVjCCAz6gAwIBAgIQL6VFw+GLlK1JMfyzVmO2UjANBgkqhkiG9w0BAQUFA DA7 MRMwEQYKCZImiZPyLGQBGRYDY29tMRUwEwYKCZImiZPyLGQBGRYFY25jY 3QxDTAL xxtfoc44ottrkxomffrunclpqsymlknfjt4+84gnkpkboenx+kciicae3g+bf3qo 5T3dDuFhuvL8qdnb6O+qQhU0IJzD/CE6h9H5VPcmhcjyrX3h2sK8+22Q/CYOdkGN Dpd8KOeffdgXpJHLxcTtlmi282lIfX7hpvcnp0baXeIxawxKd1sUgtMBjfpmu8ez kbrq3e48n5ueczch/l5iluxwijqocdeymx26gywxiypcnrg/3rtryye3bjo5hqll KVZGABreB7GNrQ== -----END CERTIFICATE----- quit INFO: Certificate has the following attributes: Fingerprint: 25a595e5 3f b82e80e b51 Do you accept this certificate? [yes/no]: yes Trustpoint CA certificate accepted. 7

8 % Certificate successfully imported 将根证书字符串粘贴到, 并用 quit 命令退去证书输入, 接受证书出入 yes, 系统提示根证书导入成功 4.3 在防火墙上查看路由器注册信息 abc(config)# crypto ca enroll abc % Start certificate enrollment.. % The subject name in the certificate will be: ou=abc,dc=abc,dc=com % The fully-qualified domain name in the certificate will be: abc.abc.com % Include the device serial number in the subject name? [yes/no]: no Display Certificate Request to terminal? [yes/no]: yes Certificate Request follows: -----BEGIN CERTIFICATE REQUEST----- MIIB0zCCATwCAQAwWDETMBEGCgmSJomT8ixkARkWA2NvbTEUMBIGCgmSJo mt8ixk ARkWBGljYmMxDTALBgNVBAsTBGljYmMxHDAaBgkqhkiG9w0BCQIWDWljYmM uawni Yy5jb20wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJAoGBALM50vonqrUOd8lVj WPF SNHaL4TzHLaNxAor6iGTovsD4dIob2p5d80LaH8AHhO1jrfiknG9gtE7mPBGlOlk hz1lfbabzwtljl5x3pringtnly/i4kjingxppm5gm9ghffbqgr+vsoii1phkunqi BhSayvVI6lyLzhIci8vqfzo//AnKzKVNwijfqjDkEf9t/iAe+van -----END CERTIFICATE REQUEST----- Redisplay enrollment request? [yes/no]:no 4.4 申请防火墙 ABC 证书输入 crypto ca enroll abc 命令查看防火墙注册证书信息, 是否包括设备序列号需要复制字符串申请 CA 证书将此字符串复制下来, 相关机构的负责人会根据此字符串再次生成一个准入证书收到证书后用记事本方式打开证书, 把字符串复制 abc(config)# crypto ca import abc certificate % The fully-qualified domain name in the certificate will be: abc.abc.com Enter the base 64 encoded certificate. End with the word "quit" on a line by itself -----BEGIN CERTIFICATE----- MIIFmzABCIOgAwIBAgIKYQhzJQAAAAAAFDANBgkqhkiG9w0BAQUFADA7MR MwEQYK CZImiZPyLGQBGRYDY29tMRUwEwYKCZImiZPyLGQBGRYFY25jY3QxDTALBg NVBAMT 8

9 OhZcvEYXUw57Dna ZZwKqoKwIFHH6U9YSs+8zT8iEall52+TcvIkZlLANWFwlGy/kBtUt+fPVC0UC0FZ YHDPU2vti5iiSxmMvVchQPyoHxvfZc+zmjkVHr1E6XvHXlE3ziLNGchOckiomxo= -----END CERTIFICATE----- quit 使用 crypto ca import abc certificate 命令将证书导入到防火墙中, 使用 quit 命令推出使用 show cry ca certificates 命令查看导入证书信息 abc# show cry ca certificates 5. 配置思科防火墙与思科防火墙 IPSec VPN 步骤 5.1 定义到对端的感兴趣流, 触发 VPN 建立的流量 access-list 100 permit ip XXX.XXX.XXX.XXX 从本地 ip 地址到对端人行测算中心网的流量 5.2 定义与对端 VPN 建立的连接策略 crypto isakmp policy 10 // 定义策略 10// authentication rsa-sig // 采用 CA 证书认证 // encryption 3des // 加密方式采用 3des// hash md5 //hash 算法采用 MD5// group 2 lifetime 7200 // 生存时间为 7200 秒 // crypto isakmp enable outside // 在 outside 口启用 isakmp 策略 // 匹配策略时, 先匹配数字小的策略一个策略可以被多个策略调用 5.3 定义 VPN 第二阶段 IPSEC 传输阶段 crypto ipsec transform-set set1 esp-3des esp-sha-hmac // 定义 set1 传输 ESP 加密和身份认证方式为 esp-3des 和 esp-sha-hmac// crypto ipsec security-association lifetime seconds 7200 // 定义 IPSEC 隧道保持时间为 7200 秒 // crypto map vpnmap 10 match address 100 // 定义 vpnmap 10 匹配符合 100 的流量出发 VPN// crypto map vpnmap 10 set peer // 定义 vpnmap 10 的对端 IP 为 // crypto map vpnmap 10 set transform-set set1 // 定义 vpnmap 1 10 调用 set1 加密方式 // crypto map vpnmap 10 set trustpoint abc ( 防火墙主动发起一定要配置 ) // 定义在使用 CA 认证时, 发送 ABC 证书匹配 // crypto map vpnmap interface outside // 定义 map1 应用到 outside 接口上 // 5.4 定义 VPN 隧道 Nat (inside)0 access-list 100 tunnel-group type ipsec-l2l // 定义一个的隧道, 为对端 ip 地址 // tunnel-group ipsec-attributes // 配置隧道 // peer-id-validate cert // 定义对对端采用证书认证 // 9

10 trust-point abc // 证书方为 abc// 5.5 查看双方 ipsec VPN 建立情况, 命令如下 : abc# show cry isakmp sa abc # show cry ipsec sa 10

一．NETGEAR VPN防火墙产品介绍

一．NETGEAR VPN防火墙产品介绍 NETGEAR VPN NETGEAR 6 http://www.netgear.com.cn - 1 - NETGEAR VPN... 4 1.1 VPN...4 1.2 Dynamic Domain Name Service...4 1.3 Netgear VPN...4 Netgear VPN... 6 2.1 FVS318 to FVS318 IKE Main...7 2.1.1 A VPN