目  录

第1章 PKI配置

1.1 PKI简介

1.1.1 概述

1.1.2 相关术语

1.1.3 体系结构

1.1.4 主要应用

1.1.5 PKI的工作过程

1.2 PKI配置任务简介

1.3 配置实体DN

1.4 配置PKI域

1.5 PKI证书申请

1.5.1 自动申请证书

1.5.2 手工申请证书

1.6 手工获取证书

1.7 配置PKI证书验证

1.8 销毁本地RSA密钥对

1.9 删除证书

1.10 配置证书属性的访问控制策略

1.11 PKI显示和维护

1.12 PKI典型配置举例

1.12.1 PKI实体向CA申请证书

1.12.2 证书属性的访问控制策略应用举例

1.13 常见配置错误举例

1.13.1 获取CA证书失败

1.13.2 本地证书申请失败

1.13.3 CRL获取失败

 

第1章  PKI配置

1.1  PKI简介

1.1.1  概述

PKI（Public Key Infrastructure，公钥基础设施）是通过使用公开密钥技术和数字证书来确保系统信息安全，并负责验证数字证书持有者身份的一种体系。

PKI的功能是通过签发数字证书来绑定证书持有者的身份和相关的公开密钥，为用户获取证书、访问证书和宣告证书作废提供了方便的途径。同时利用数字证书及相关的各种服务（证书发布、黑名单发布等）实现通信过程中各实体的身份认证，保证了通信数据的机密性、完整性和不可否认性。

1.1.2  相关术语

1. 数字证书

数字证书是一个经证书授权中心数字签名的、包含公开密钥及相关的用户身份信息的文件。最简单的数字证书包含一个公开密钥、名称及证书授权中心的数字签名。一般情况下数字证书中还包括密钥的有效时间、发证机关（证书授权中心）的名称和该证书的序列号等信息，证书的格式遵循ITUTX.509国际标准。本手册中涉及两类证书：本地（local）证书和CA（Certificate Authority）证书。本地证书为CA签发给实体的数字证书；CA证书也称为根证书，为CA“自签”的数字证书。

2. 证书废除列表（CRL，Certificate Revocation List）

由于用户姓名的改变、私钥泄漏或业务中止等原因，需要存在一种方法将现行的证书撤消，即撤消公开密钥及相关的用户身份信息的绑定关系。在PKI中，所使用的这种方法为证书废除列表。任何一个证书被废除以后，CA就要发布CRL来声明该证书是无效的，并列出所有被废除的证书的序列号。CRL提供了一种检验证书有效性的方式。

当一个CRL的撤消信息过多时会导致CRL的发布规模变得非常庞大，且随着CRL大小的增加，网络资源的使用性能也会随之下降。为了避免这种情况，允许一个CA的撤消信息通过多个CRL发布出来。CRL片断也称为CRL发布点。

3. CA策略

CA在受理证书请求、颁发证书、吊销证书和发布CRL时所采用的一套标准被称为CA策略。通常，CA以一种叫做证书惯例声明（CPS，Certification Practice Statement）的文档发布其策略，CA策略可以通过带外（如电话、磁盘、电子邮件等）或其他方式获取。由于不同的CA使用不同的方法验证公开密钥与实体之间的绑定，所以在选择信任的CA进行证书申请之前，必须理解CA策略，从而指导对实体进行相应的配置。

1.1.3  体系结构

一个PKI体系由终端实体、证书机构、注册机构和PKI存储库四类实体共同组成，如下图1-1。

图1-1 PKI体系结构图

1. 终端实体

终端实体是PKI产品或服务的最终使用者，可以是个人、组织、设备（如路由器、交换机）或计算机中运行的进程。

2. 证书机构（CA，Certificate Authority）

CA是PKI的信任基础，是一个用于签发并管理数字证书的可信实体。其作用包括：发放证书、规定证书的有效期和通过发布CRL确保必要时可以废除证书。

3. 注册机构（RA，Registration Authority）

RA是CA的延伸，可作为CA的一部分，也可以独立。RA功能包括个人身份审核、CRL管理、密钥对产生和密钥对备份等。PKI国际标准推荐由一个独立的RA来完成注册管理的任务，这样可以增强应用系统的安全性。

4. PKI存储库

PKI存储库包括LDAP（Lightweight Directory Access Protocol，轻量级目录访问协议）服务器和普通数据库，用于对用户申请、证书、密钥、CRL和日志等信息进行存储和管理，并提供一定的查询功能。

LDAP提供了一种访问PKI存储库的方式，通过该协议来访问并管理PKI信息。LDAP服务器负责将RA服务器传输过来的用户信息以及数字证书进行存储，并提供目录浏览服务。用户通过访问LDAP服务器获取自己和其他用户的数字证书。

1.1.4  主要应用

PKI技术的广泛应用能满足人们对网络交易安全保障的需求。作为一种基础设施，PKI的应用范围非常广泛，并且在不断发展之中，下面给出几个应用实例。

1. 虚拟专用网络（VPN，Virtual Private Network）

VPN是一种构建在公用通信基础设施上的专用数据通信网络，利用网络层安全协议（如IPSec）和建立在PKI上的加密与数字签名技术来获得机密性保护。

2. 安全电子邮件

电子邮件的安全也要求机密、完整、认证和不可否认，而这些都可以利用PKI技术来实现。目前发展很快的安全电子邮件协议S/MIME(Secure/Multipurpose Internet Mail Extensions，安全/多用途Internet邮件扩充协议)，是一个允许发送加密和有签名邮件的协议。该协议的实现需要依赖于PKI技术。

3. Web安全

为了透明地解决Web的安全问题，在两个实体进行通信之前，先要建立SSL（Secure Sockets Layer，安全套接字层）连接，以此实现对应用层透明的安全通信。利用PKI技术，SSL协议允许在浏览器和服务器之间进行加密通信。此外，服务器端和浏览器端通信时双方可以通过数字证书确认对方的身份。

1.1.5  PKI的工作过程

针对一个使用PKI的网络，配置PKI的目的就是为指定的实体向CA申请一个本地证书，并由设备对证书的有效性进行验证。下面是PKI的工作过程：

(1)        实体向CA提出证书申请；

(2)        RA审核实体身份，将实体身份信息和公开密钥以数字签名的方式发送给CA；

(3)        CA验证数字签名，同意实体的申请，颁发证书；

(4)        RA接收CA返回的证书，发送到LDAP服务器以提供目录浏览服务，并通知实体证书发行成功；

(5)        实体获取证书，利用该证书可以与其它实体使用加密、数字签名进行安全通信；

(6)        实体希望撤消自己的证书时，向CA提交申请。CA批准实体撤消证书，并更新CRL，发布到LDAP服务器。

1.2  PKI配置任务简介

表1-1 PKI配置任务简介

配置任务		说明	详细配置
配置实体DN		必选	1.3
配置PKI域		必选	1.4
PKI证书申请	自动申请证书	二者必选其一	1.5.1
	手工申请证书		1.5.2
手工获取证书		可选	1.6
配置PKI证书验证		可选	1.7
销毁本地RSA密钥对		可选	1.8
删除证书		可选	1.9
配置证书属性的访问控制策略		可选	1.10

 

1.3  配置实体DN

一份证书是一个公开密钥与一个身份的绑定，而身份必须与一个特定的PKI实体相关联。实体DN（Distinguished Name，可识别名称）的参数是实体的身份信息，CA根据实体提供的身份信息来唯一标识证书申请者。

实体DN的参数包括：

l              实体通用名

l              实体所属国家代码，用标准的2字符代码表示。例如，“CN”是中国的合法国家代码，“US”是美国的合法国家代码

l              实体FQDN（Fully Qualified Domain Name，合格域名），是实体在网络中的唯一标识，由一个主机名和域名组成，可被解析为IP地址。例如，www是一个主机名，whatever.com是一个域名，则www.whatever.com就是一个FQDN。

l              实体IP地址

l              实体所在地理区域名称

l              实体所属组织名称

l              实体所属部门名称

l              实体所属州省

 

表1-2 配置实体DN

操作	命令	说明
进入系统视图	system-view	-
创建一个实体，并进入该实体视图	pki entity entity-name	必选 缺省情况下，无实体存在
配置实体通用名	common-name name	可选 缺省情况下，未配置实体的通用名
配置实体所属国家代码	country country-code-str	可选 缺省情况下，未配置实体所属国家代码
配置实体FQDN	fqdn name-str	可选 缺省情况下，未配置实体FQDN
配置实体IP地址	ip ip-address	可选 缺省情况下，未配置实体IP地址
配置实体所在地理区域名称	locality locality-name	可选 缺省情况下，未配置实体所在地理区域
配置实体所属组织名称	organization org-name	可选 缺省情况下，未配置实体所属组织
配置实体所属部门名称	organization-unit org-unit-name	可选 缺省情况下，未配置实体所属部门
配置实体所属州省	state state-name	可选 缺省情况下，未配置实体所属州省

 

 

1.4  配置PKI域

实体在进行PKI证书申请操作之前需要配置一些注册信息来配合完成申请的过程。这些信息的集合就是一个实体的PKI域。

PKI域是一个本地概念，因此创建PKI域的目的是便于其它应用引用PKI的配置，比如SSL等。一个设备上配置的PKI域对CA和其它设备是不可见的，每一个PKI域有单独的域参数配置信息。

PKI域中包括以下参数：

l              信任的CA名称

在申请证书时，是通过一个可信实体认证机构，来完成实体证书的注册颁发，因此必须指定一个信任的CA名称。

l              实体名称

向CA发送证书申请请求时，必须指定所使用的实体名，以向CA表明自己的身份。

l              证书申请的注册机构

证书申请的受理一般由一个独立的注册机构（即RA）来承担，它接收用户的注册申请，审查用户的申请资格，并决定是否同意CA给其签发数字证书。注册机构并不给用户签发证书，而只是对用户进行资格审查。有时PKI把注册管理的职能交给CA来完成，而不设立独立运行的RA，但这并不是取消了PKI的注册功能，而只是将其作为CA的一项功能而已。PKI推荐独立使用RA作为注册审理机构。

l              注册服务器的URL

证书申请之前必须指定注册服务器的URL，随后实体可通过简单证书注册协议（SCEP，Simple Certification Enrollment Protocol）向该服务器提出证书申请，SCEP是专门用于与认证机构进行通信的协议。

l              证书申请状态查询的周期和次数

实体在发送证书申请后，如果CA采用手工验证申请，证书的发布会需要很长时间。在此期间，客户端需要定期发送状态查询，以便在证书签发后能及时获取到证书。客户端可以配置证书申请状态的查询周期和次数。

l              LDAP服务器IP地址

在PKI系统中，用户的证书和CRL信息的存储是一个非常核心的问题。一般采用LDAP服务器来存储证书和CRL，这时就需要指定LDAP服务器的位置。

l              验证根证书时使用的指纹

当设备从CA获得根证书时，需要验证CA根证书的指纹，即根证书内容的散列值，该值对于每一个证书都是唯一的。如果CA根证书的指纹与在PKI域中配置的指纹不同，则设备将拒绝接收根证书。

表1-3 配置PKI域

配置任务	命令	说明
进入系统视图	system-view	-
创建一个PKI域，并进入PKI域视图	pki domain domain-name	必选
配置信任的CA名称	ca identifier name	必选 缺省情况下，未配置信任的CA名称
指定实体名称	certificate request entity entity-name	必选 缺省情况下，未指定实体名称 指定的实体名称必须已创建
配置证书申请的注册受理机构	certificate request from { ca | ra }	必选 缺省情况下，未指定证书申请的注册受理机构
配置注册服务器URL	certificate request url url-string	必选 缺省情况下，未指定注册服务器URL
配置证书申请状态查询的周期和次数	certificate request polling { count count | interval minutes }	可选 缺省情况下，证书申请状态查询周期为20分钟，每一个周期内查询50次
配置LDAP服务器	ldap-server ip ip-address [ port port-number ] [ version version-number ]	可选 缺省情况下，未指定LDAP服务器
配置验证根证书时使用的指纹	root-certificate fingerprint { md5 | sha1 } string	可选 缺省情况下，未指定验证根证书时使用的指纹

 

 

1.5  PKI证书申请

证书申请就是实体向CA自我介绍的过程。实体向CA提供身份信息，以及相应的公开密钥，这些信息将成为颁发给该实体证书的主要组成部分。实体向CA提出证书申请，有离线和在线两种方式。离线申请方式下，CA允许申请方通过带外方式（如电话、磁盘、电子邮件等）向CA提供申请信息。

在线证书申请有手工发起和自动发起两种方式。

1.5.1  自动申请证书

配置证书申请方式为自动方式后，在没有本地证书时实体自动通过SCEP协议进行申请，而且在证书即将过期时自动申请新的证书。

表1-4 自动申请证书

操作	命令	说明
进入系统视图	system-view	-
进入PKI域视图	pki domain domain-name	-
配置证书申请为自动方式	certificate request mode auto [ key-length key-length | password { cipher | simple } password ] *	必选 缺省情况下，证书申请为手工方式

 

1.5.2  手工申请证书

配置证书申请方式为手工方式后，需要手工完成获取CA证书、生成密钥对、申请本地证书的工作。

获取CA证书的目的是用来验证本地证书的真实性和合法性。

密钥对的产生是证书申请过程中重要的一步。申请过程使用了一对主机密钥：私钥和公钥。私钥由用户保留，公钥和其他信息则交由CA中心进行签名，从而产生证书。

有关RSA密钥对的具体配置请参见“SSH操作”。

表1-5 手工申请证书

操作	命令	说明
进入系统视图	system-view	-
进入PKI域视图	pki domain domain-name	-
配置证书申请为手工方式	certificate request mode manual	可选 缺省情况下，证书申请为手工方式
退回系统视图	quit	-
手工获取CA证书	请参见1.6  手工获取证书	必选
生成本地RSA密钥对	public-key local create rsa	必选 缺省情况下，本地没有RSA密钥对
手工申请本地证书	pki request-certificate domain domain-name [ password ] [ pkcs10 [ filename filename ] ]	必选

 

 

1.6  手工获取证书

用户通过此配置可以将已存在的CA证书或本地证书获取至本地。获取证书有两种方式：离线方式和在线方式。离线方式下获取证书需要通过带外方式（如FTP、磁盘、电子邮件等）取得证书，然后将其导入至本地。

获取证书的目的有两个：

l              将CA签发的与实体所在安全域有关的证书存放到本地，以提高证书的查询效率，减少向PKI证书存储库查询的次数。

l              为证书的验证做好准备。

获取本地证书之前必须完成LDAP服务器的配置。

表1-6 手工获取证书

操作		命令	说明
进入系统视图		system-view	-
手工获取证书	在线方式	pki retrieval-certificate { ca | local } domain domain-name	二者必选其一
	离线方式导入证书	pki import-certificate { ca | local } domain domain-name { der | p12 | pem } [ filename filename ]

 

 

1.7  配置PKI证书验证

在使用每一个证书之前，必须对证书进行验证。证书验证包括对签发时间、签发者信息以及证书的有效性几方面进行验证。证书验证的核心是检查CA在证书上的签名，并确定证书仍在有效期内，而且未被废除，因此在进行证书验证操作之前必须首先获取CA证书。

配置证书验证时可以设置是否必须进行CRL检查。如果配置为使能CRL检查，则检验证书的有效性，必须通过CRL判断。

表1-7 配置使能CRL检查的证书验证

操作	命令	说明
进入系统视图	system-view	-
进入PKI域视图	pki domain domain-name	-
配置CRL发布点的URL	crl url url-string	可选 缺省情况下，未指定CRL发布点的URL
配置CRL的更新周期	crl update-period hours	可选 缺省情况下，根据CRL文件中的下次更新域进行更新
使能CRL检查	crl check enable	可选 缺省情况下，CRL检查处于开启状态
退回系统视图	quit	-
获取CA证书	请参见1.6  手工获取证书	必选
获取CRL并下载至本地	pki retrieval-crl domain domain-name	必选
检验证书的有效性	pki validate-certificate { ca | local } domain domain-name	必选

 

表1-8 配置不使能CRL检查的PKI证书验证

操作	命令	说明
进入系统视图	system-view	-
进入PKI域视图	pki domain domain-name	-
禁止CRL检查	crl check disable	必选 缺省情况下，CRL检查处于开启状态
退回系统视图	quit	-
获取CA证书	请参见1.6  手工获取证书	必选
检验证书的有效性	pki validate-certificate { ca | local } domain domain-name	必选

 

 

1.8  销毁本地RSA密钥对

由CA颁发的证书都会设置有效期，证书生命周期的长短由签发证书的CA中心来确定。当用户的私钥被泄漏或证书的有效期快到时，用户应该删除旧的密钥对，产生新的密钥对，重新申请新的证书。通过此配置用户可以销毁本地RSA密钥对。

表1-9 销毁本地RSA密钥对

操作	命令	说明
进入系统视图	system-view	-
销毁本地RSA密钥对	public-key local destroy rsa	必选

 

 

1.9  删除证书

证书过期或希望重新申请证书，可以通过此配置删除一个已经存在的本地证书或CA证书。

表1-10 配置删除证书

操作	命令	说明
进入系统视图	system-view	-
配置删除证书	pki delete-certificate { ca | local } domain domain-name	必选

 

1.10  配置证书属性的访问控制策略

通过配置证书属性的访问控制策略，可以对用户的访问权限进行进一步的控制，保证了与之通信的服务器的安全性。

表1-11 配置证书属性的访问控制策略

操作	命令	说明
进入系统视图	system-view	-
创建证书属性组，并进入证书属性组视图	pki certificate attribute-group group-name	必选 缺省情况下，不存在证书属性组
配置证书颁发者名、证书主题名及备用主题名的属性规则	attribute id { alt-subject-name { fqdn | ip } | { issuer-name | subject-name } { dn | fqdn | ip } } { ctn | equ | nctn | nequ} attribute-value	可选 缺省情况下，对证书颁发者名、证书主题名及备用主题名没有限制
退回系统视图	quit	-
创建证书属性访问控制策略，并进入证书属性访问控制策略视图	pki certificate access-control-policy policy-name	必选 缺省情况下，不存在证书属性访问控制策略
配置证书属性控制规则	rule [ id ] { deny | permit } group-name	必选 缺省情况下，不存在证书属性控制规则

 

 

1.11  PKI显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后PKI的运行情况，通过查看显示信息验证配置的效果。

表1-12 PKI显示和维护

操作	命令
显示证书内容或证书申请状态	display pki certificate { { ca | local } domain domain-name | request-status }
显示CRL内容	display pki crl domain domain-name
显示证书属性组的信息	display pki certificate attribute-group { group-name | all }
显示证书属性访问控制策略的信息	display pki certificate access-control-policy { policy-name | all }

 

1.12  PKI典型配置举例

 

1.12.1  PKI实体向CA申请证书

 

1. 组网需求

在作为PKI实体的设备Switch上进行相关配置，实现以下需求：

l              设备向CA服务器申请本地证书

l              获取CRL为证书验证做准备

2. 组网图

图1-2 PKI实体向CA申请证书组网图

3. 配置步骤

l              CA服务器端的配置

(1)        创建CA服务器myca

在本例中，CA服务器上首先需要进行基本属性Nickname和Subject DN的配置。其它属性选择默认值。其中，Nickname为可信任的CA名称，Subject DN为CA的DN属性，包括CN、OU、O和C。

(2)        配置扩展属性

基本属性配置完毕之后，还需要在生成的CA服务器管理页面上对“Jurisdiction Configuration”进行配置，主要内容包括：根据需要选择合适的扩展选项；启动自动颁发证书功能；添加可以自动颁发证书的地址范围。

(3)        配置CRL发布

CA服务器的基本配置完成之后，需要进行CRL的相关配置。

本例中选择CRL的发布方式为HTTP，自动生成CRL发布点的URL为http://4.4.4.133:447/myca.crl。

以上配置完成之后，还需要保证设备的系统时钟与CA的时钟同步才可以正常使用设备来申请证书和获取CRL。

l              设备Switch上的配置

(4)        配置实体命名空间

# 配置实体名称为aaa，通用名为Switch。

<Switch> system-view

[Switch] pki entity aaa

[Switch-pki-entity-aaa] common-name Switch

[Switch-pki-entity-aaa] quit

(5)        配置PKI域参数

# 创建并进入PKI域torsa。

[Switch] pki domain torsa

# 配置可信任的CA名称为myca。

[Switch-pki-domain-torsa] ca identifier myca

# 配置注册服务器URL，格式为http://host:port/Issuing Jurisdiction ID。其中的Issuing Jurisdiction ID为CA服务器上生成的16进制字符串。

[Switch-pki-domain-torsa] certificate request url http://4.4.4.133:446/c95e970f632d27be5e8cbf80e971d9c4a9a93337

# 配置证书申请的注册受理机构为CA。

[Switch-pki-domain-torsa] certificate request from ca

# 指定实体名称为aaa。

[Switch-pki-domain-torsa] certificate request entity aaa

# 配置CRL发布点位置。

[Switch-pki-domain-torsa] crl url http://4.4.4.133:447/myca.crl

[Switch-pki-domain-torsa] quit

(6)        用RSA算法生成本地密钥对

[Switch] public-key local create rsa

The range of public key size is (512 ~ 2048).

NOTES: If the key modulus is greater than 512,

       It may take a few minutes.

Press CTRL+C to abort.

Input the bits in the modulus [default = 1024]:

Generating keys...

........++++++

....................................++++++

.......++++++++

......................++++++++

.

(7)        证书申请

# 获取CA证书并下载至本地。

[Switch] pki retrieval-certificate ca domain torsa

Retrieving CA/RA certificates. Please wait a while......

The trusted CA's finger print is:

    MD5  fingerprint:EDE9 0394 A273 B61A F1B3 0072 A0B1 F9AB

    SHA1 fingerprint: 77F9 A077 2FB8 088C 550B A33C 2410 D354 23B2 73A8

 

Is the finger print correct?(Y/N):y

 

Saving CA/RA certificates chain, please wait a moment......

CA certificates retrieval success.

# 获取CRL并下载至本地。

[Switch] pki retrieval-crl domain torsa

Connecting to server for retrieving CRL. Please wait a while.....

CRL retrieval success!

# 手工申请本地证书。

[Switch] pki request-certificate domain torsa challenge-word

Enrolling the local certificate,please wait a while......

Certificate request Successfully!

Saving the local certificate to device......

Done!

(8)        验证配置结果

# 通过以下显示命令可以查看获取的本地证书信息。

<Switch> display pki certificate local domain torsa

Certificate:

    Data:

        Version: 3 (0x2)

        Serial Number:

            9A96A48F 9A509FD7 05FFF4DF 104AD094

        Signature Algorithm: sha1WithRSAEncryption

        Issuer:

            C=cn

            O=org

            OU=test

            CN=myca

        Validity

            Not Before: Jan  8 09:26:53 2007 GMT

            Not After : Jan  8 09:26:53 2008 GMT

        Subject:

            CN=Switch

        Subject Public Key Info:

            Public Key Algorithm: rsaEncryption

            RSA Public Key: (1024 bit)

                Modulus (1024 bit):

                    00D67D50 41046F6A 43610335 CA6C4B11

                    F8F89138 E4E905BD 43953BA2 623A54C0

                    EA3CB6E0 B04649CE C9CDDD38 34015970

                    981E96D9 FF4F7B73 A5155649 E583AC61

                    D3A5C849 CBDE350D 2A1926B7 0AE5EF5E

                    D1D8B08A DBF16205 7C2A4011 05F11094

                    73EB0549 A65D9E74 0F2953F2 D4F0042F

                    19103439 3D4F9359 88FB59F3 8D4B2F6C

                    2B

                Exponent: 65537 (0x10001)

        X509v3 extensions:

            X509v3 CRL Distribution Points:

            URI:http://4.4.4.133:447/myca.crl

 

    Signature Algorithm: sha1WithRSAEncryption

        836213A4 F2F74C1A 50F4100D B764D6CE

        B30C0133 C4363F2F 73454D51 E9F95962

        EDE9E590 E7458FA6 765A0D3F C4047BC2

        9C391FF0 7383C4DF 9A0CCFA9 231428AF

        987B029C C857AD96 E4C92441 9382E798

        8FCC1E4A 3E598D81 96476875 E2F86C33

        75B51661 B6556C5E 8F546E97 5197734B

        C8C29AC7 E427C8E4 B9AAF5AA 80A75B3C

关于获取的CA证书及CRL文件的详细信息可以通过相应的显示命令来查看，此处略。具体内容请参考命令display pki certificate ca domain和display pki crl domain。

1.12.2  证书属性的访问控制策略应用举例

1. 组网需求

l              客户端通过HTTPS（HTTP Security，HTTP安全）协议远程访问设备（HTTPS服务器）。

l              通过SSL协议保证合法客户端安全登录HTTPS服务器。

l              为HTTPS服务器制定证书属性的访问控制策略，对客户端的访问权限进行控制。

2. 组网图

图1-3 证书属性的访问控制策略应用组网图

3. 配置步骤

 

(1)        配置HTTPS服务器

# 配置HTTPS服务器使用的SSL策略。

<Switch> system-view

[Switch] ssl server-policy myssl

[Switch-ssl-server-policy-myssl] pki-domain 1

[Switch-ssl-server-policy-myssl] client-verify enable

[Switch-ssl-server-policy-myssl] quit

(2)        配置证书属性组

# 配置证书属性组mygroup1，并创建两个属性规则。规则1定义证书主题名的DN包含字符串aabbcc；规则2定义证书颁发者名中的IP地址等于10.0.0.1。

[Switch] pki certificate attribute-group mygroup1

[Switch-pki-cert-attribute-group-mygroup1] attribute 1 subject-name dn ctn aabbcc

[Switch-pki-cert-attribute-group-mygroup1] attribute 2 issuer-name ip equ 10.0.0.1

[Switch-pki-cert-attribute-group-mygroup1] quit

# 配置证书属性组mygroup2，并创建两个属性规则。规则1定义证书备用主题名中的FQDN不包含字符串apple；规则2定义证书颁发者名的DN包含字符串aabbcc。

[Switch] pki certificate attribute-group mygroup2

[Switch-pki-cert-attribute-group-mygroup2] attribute 1 alt-subject-name fqdn nctn apple

[Switch-pki-cert-attribute-group-mygroup2] attribute 2 issuer-name dn ctn aabbcc

[Switch-pki-cert-attribute-group-mygroup2] quit

(3)        配置证书访问控制策略

# 配置访问控制策略myacp，并建立两个控制规则。

[Switch] pki certificate access-control-policy myacp

[Switch-pki-cert-acp-myacp] rule 1 deny mygroup1

[Switch-pki-cert-acp-myacp] rule 2 permit mygroup2

[Switch-pki-cert-acp-myacp] quit

(4)        配置HTTPS服务器与相关策略进行关联，并启动HTTPS服务器

# 配置指定HTTPS服务器的SSL策略为myssl。

[Switch] ip https ssl-server-policy myssl

# 配置指定HTTPS服务器的证书访问控制策略为myacp。

[Switch] ip https certificate access-control-policy myacp

# 启动HTTPS服务器。

[Switch] ip https enable

1.13  常见配置错误举例

1.13.1  获取CA证书失败

1. 故障现象

获取CA证书时失败。

2. 故障分析

可能有以下原因：

l              网络连接故障，如网线折断，接口松动；

l              没有设置信任的CA名称；

l              证书申请的注册服务器URL位置不正确或未配置；

l              没有配置证书申请注册受理机构；

l              设备的系统时钟与CA的时钟不同步。

3. 处理过程

l              排除物理连接故障；

l              查看各必配项是否都正确配置；

l              可通过ping命令测试注册服务器是否连接正常；

l              配置证书申请注册受理机构；

l              保持系统时钟与CA同步。

1.13.2  本地证书申请失败

1. 故障现象

手工证书请求失败。

2. 故障分析

可能有以下原因：

l              网络连接故障，如网线折断，接口松动；

l              申请之前没有先获取CA证书；

l              当前的密钥对已经绑定证书；

l              没有设置信任的CA名称；

l              证书申请的注册服务器URL位置不正确或未配置；

l              没有配置证书申请注册受理机构；

l              没有配置实体DN中必配参数。

3. 处理过程

l              排除物理连接故障；

l              获取CA证书；

l              重新创建密钥对；

l              配置信任的CA名称；

l              可通过ping命令测试注册服务器是否连接正常；

l              配置证书申请注册受理机构；

l              可通过查看CA/RA注册策略选择相关的实体DN属性进行配置。

1.13.3  CRL获取失败

1. 故障现象

获取CRL发生失败。

2. 故障分析

可能有以下原因：

l              网络连接故障，如网线折断，接口松动；

l              获取CRL之前未先取得CA证书；

l              未设置LDAP服务器的IP地址；

l              未设置CRL分布点位置；

l              LDAP服务器版本配置错误。

3. 处理过程

l              排除物理连接故障；

l              获取CA证书；

l              设置LDAP服务器的IP地址；

l              设置CRL分布点位置；

l              重新配置LDAP版本。