- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
05-SSL命令
本章节下载： 05-SSL命令 (175.47 KB)
1.1.4 display ssl client-policy
1.1.5 display ssl server-policy
1.1.6 pki-domain (SSL client policy view /SSL server policy view)
1.1.11 ssl renegotiation disable
设备运行于FIPS模式时，本特性部分配置相对于非FIPS模式有所变化，具体差异请见本文相关描述。有关FIPS模式的详细介绍请参见“安全配置指导”中的“FIPS”。
ciphersuite命令用来配置SSL服务器端策略支持的加密套件。
undo ciphersuite命令用来恢复缺省情况。
非FIPS模式下：
FIPS模式下：
ciphersuite { ecdhe_ecdsa_aes_128_cbc_sha256 | ecdhe_ecdsa_aes_128_gcm_sha256 | ecdhe_ecdsa_aes_256_cbc_sha384 | ecdhe_ecdsa_aes_256_gcm_sha384 | ecdhe_rsa_aes_128_cbc_sha256 | ecdhe_rsa_aes_128_gcm_sha256 | rsa_aes_128_cbc_sha | rsa_aes_128_cbc_sha256 | rsa_aes_256_cbc_sha | rsa_aes_256_cbc_sha256 } *
SSL服务器端策略支持所有的加密套件。
SSL服务器端策略视图
mdc-admin
dhe_rsa_aes_128_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用128位的AES、MAC算法采用SHA。
dhe_rsa_aes_128_cbc_sha256：密钥交换算法采用DHE RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。
dhe_rsa_aes_256_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用256位的AES、MAC算法采用SHA。
dhe_rsa_aes_256_cbc_sha256：密钥交换算法采用DHE RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA256。
ecdhe_ecdsa_aes_128_cbc_sha256：密钥交换算法采用ECDHE ECDSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。
ecdhe_ecdsa_aes_128_gcm_sha256：密钥交换算法采用ECDHE ECDSA、数据加密算法采用128位的AES_GCM、MAC算法采用SHA256。
ecdhe_ecdsa_aes_256_cbc_sha384：密钥交换算法采用ECDHE ECDSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA384。
ecdhe_ecdsa_aes_256_gcm_sha384：密钥交换算法采用ECDHE ECDSA、数据加密算法采用256位的AES_GCM、MAC算法采用SHA384。
ecdhe_rsa_aes_128_cbc_sha256：密钥交换算法采用ECDHE RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。
ecdhe_rsa_aes_128_gcm_sha256：密钥交换算法采用ECDHE RSA、数据加密算法采用128位的AES_GCM、MAC算法采用SHA256。
ecdhe_rsa_aes_256_cbc_sha384：密钥交换算法采用ECDHE RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA384。
ecdhe_rsa_aes_256_gcm_sha384：密钥交换算法采用ECDHE RSA、数据加密算法采用256位的AES_GCM、MAC算法采用SHA384。
exp_rsa_des_cbc_sha：满足出口限制的算法套件。密钥交换算法采用RSA、数据加密算法采用DES_CBC、MAC算法采用SHA。
exp_rsa_rc2_md5：满足出口限制的算法套件。密钥交换算法采用RSA、数据加密算法采用RC2、MAC算法采用MD5。
exp_rsa_rc4_md5：满足出口限制的算法套件。密钥交换算法采用RSA、数据加密算法采用RC4、MAC算法采用MD5。
rsa_3des_ede_cbc_sha：密钥交换算法采用RSA、数据加密算法采用3DES_EDE_CBC、MAC算法采用SHA。
rsa_aes_128_cbc_sha：密钥交换算法采用RSA、数据加密算法采用128位AES_CBC、MAC算法采用SHA。
rsa_aes_128_cbc_sha256：密钥交换算法采用RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。
rsa_aes_256_cbc_sha：密钥交换算法采用RSA、数据加密算法采用256位AES_CBC、MAC算法采用SHA。
rsa_aes_256_cbc_sha256：密钥交换算法采用RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA256。
rsa_des_cbc_sha：密钥交换算法采用RSA、数据加密算法采用DES_CBC、MAC算法采用SHA。
rsa_rc4_128_md5：密钥交换算法采用RSA、数据加密算法采用128位的RC4、MAC算法采用MD5。
rsa_rc4_128_sha：密钥交换算法采用RSA、数据加密算法采用128位的RC4、MAC算法采用SHA。
为了提高安全性，SSL协议采用了如下算法：
· 数据加密算法：用来对传输的数据进行加密，以保证数据传输的私密性。常用的数据加密算法通常为对称密钥算法，如DES_CBC、3DES_EDE_CBC、AES_CBC、RC4等。使用对称密钥算法时，要求SSL服务器端和SSL客户端具有相同的密钥。
· MAC（Message Authentication Code，消息验证码）算法：用来计算数据的MAC值，以防止发送的数据被篡改。常用的MAC算法有MD5、SHA等。使用MAC算法时，要求SSL服务器端和SSL客户端具有相同的密钥。
· 密钥交换算法：用来实现密钥交换，以保证对称密钥算法、MAC算法中使用的密钥在SSL服务器端和SSL客户端之间安全地传递。常用的密钥交换算法通常为非对称密钥算法，如RSA。
通过本命令可以配置SSL服务器端策略支持的各种算法组合。例如，rsa_des_cbc_sha表示SSL服务器端策略支持的密钥交换算法为RSA、数据加密算法为DES_CBC、MAC算法为SHA。
SSL服务器接收到SSL客户端发送的客户端加密套件后，将服务器支持的加密套件与SSL客户端支持的加密套件比较。如果SSL服务器支持的加密套件中存在SSL客户端支持的加密套件，则加密套件协商成功；否则，加密套件协商失败。
# 指定SSL服务器端策略支持如下加密套件：
· 密钥交换算法为DHE RSA、数据加密算法为128位的AES、MAC算法为SHA
· 密钥交换算法为RSA、数据加密算法为128位的AES、MAC算法为SHA
[Sysname] ssl server-policy policy1
[Sysname-ssl-server-policy-policy1] ciphersuite dhe_rsa_aes_128_cbc_sha rsa_aes_128_cbc_sha
client-verify enable命令用来配置SSL服务器端要求对SSL客户端进行基于数字证书的身份验证。undo client-verify enable命令用来恢复缺省情况。
SSL服务器端不要求对SSL客户端进行基于数字证书的身份验证。
SSL服务器端策略视图
mdc-admin
SSL通过数字证书实现对对端的身份进行验证。数字证书的详细介绍，请参见“安全配置指导”中的“PKI”。
如果执行了client-verify enable命令，则SSL客户端必须将自己的数字证书提供给服务器，以便服务器对客户端进行基于数字证书的身份验证。只有身份验证通过后，SSL客户端才能访问SSL服务器。
# 配置SSL服务器端要求对SSL客户端进行基于数字证书的身份验证。
[Sysname] ssl server-policy policy1
[Sysname-ssl-server-policy-policy1] client-verify enable
display crypto version命令用来显示算法库的版本号。
【命令】
display crypto version
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
mdc-admin
mdc-operator
【使用指导】
相同的算法库版本号表示了一套相同的密码学算法。
# 显示当前设备算法库的版本号。
<Sysname> display crypto version
7.1.3290
表1-1 display crypto version命令显示信息描述表
|
字段 |
描述 |
|
7.1.3290 |
版本号信息，格式为7.1.X，其中7.1表示Comware V700R001，X表示算法库的版本号。 |
display ssl client-policy命令用来显示SSL客户端策略的信息。
display ssl client-policy [ policy-name ]
mdc-admin
mdc-operator
policy-name：显示指定的SSL客户端策略的信息，为1～31个字符的字符串，不区分大小写。如果不指定本参数，则显示所有SSL客户端策略的信息。
# 显示名为policy1的SSL客户端策略的信息。
<Sysname> display ssl client-policy policy1
SSL client policy: policy1
SSL version: SSL 3.0
PKI domain: client-domain
Preferred ciphersuite:
RSA_AES_128_CBC_SHA
Server-verify: enabled
表1-2 display ssl client-policy命令显示信息描述表
|
SSL客户端策略名 |
|
|
SSL客户端策略使用的SSL协议版本 |
|
|
SSL客户端策略使用的PKI域 |
|
|
SSL客户端策略支持的加密套件 |
|
|
SSL客户端策略的服务器端验证模式，取值包括： · disabled：不要求对SSL服务器进行基于数字证书的身份验证 · enabled：要求对SSL服务器进行基于数字证书的身份验证 |
display ssl server-policy命令用来显示SSL服务器端策略的信息。
display ssl server-policy [ policy-name ]
mdc-admin
mdc-operator
policy-name：显示指定的SSL服务器端策略的信息，为1～31个字符的字符串，不区分大小写。如果不指定本参数，则显示所有SSL服务器端策略的信息。
# 显示名为policy1的SSL服务器端策略的信息。
<Sysname> display ssl server-policy policy1
SSL server policy: policy1
PKI domain: server-domain
Ciphersuites:
DHE_RSA_AES_128_CBC_SHA
RSA_AES_128_CBC_SHA
Session cache size: 600
Client-verify: enabled
表1-3 display ssl server-policy命令显示信息描述表
|
SSL服务器端策略名 |
|
|
SSL服务器端策略使用的PKI域 |
|
|
SSL服务器端策略支持的加密套件 |
|
|
SSL服务器端可以缓存的最大会话数目 |
|
|
SSL服务器端策略的客户端验证模式，取值包括： · disabled：不要求对客户端进行基于数字证书的身份验证 · enabled：要求对客户端进行基于数字证书的身份验证 |
pki-domain命令用来配置SSL客户端策略或SSL服务器端策略所使用的PKI域。
undo pki-domain命令用来恢复缺省情况。
没有指定SSL客户端策略或SSL服务器端策略所使用的PKI域。
SSL客户端策略视图/SSL服务器端策略视图
mdc-admin
domain-name：PKI域的域名，为1～31个字符的字符串，不区分大小写。
如果通过本命令指定了SSL客户端策略使用的PKI域，则引用该客户端策略的SSL客户端将通过该PKI域获取客户端的数字证书。
如果通过本命令指定了SSL服务器端策略使用的PKI域，则引用该服务器端策略的SSL服务器将通过该PKI域获取服务器端的数字证书。
# 配置SSL客户端策略所使用的PKI域为client-domain。
<Sysname> system-view
[Sysname] ssl client-policy policy1
[Sysname-ssl-client-policy-policy1] pki-domain client-domain
# 配置SSL服务器端策略所使用的PKI域为server-domain。
[Sysname] ssl server-policy policy1
[Sysname-ssl-server-policy-policy1] pki-domain server-domain
· display ssl server-policy
· pki domain（安全命令参考/PKI）
prefer-cipher命令用来配置SSL客户端策略支持的加密套件。
undo prefer-cipher命令用来恢复缺省情况。
非FIPS模式下：
FIPS模式下：
prefer-cipher { ecdhe_ecdsa_aes_128_cbc_sha256 | ecdhe_ecdsa_aes_128_gcm_sha256 | ecdhe_ecdsa_aes_256_cbc_sha384 | ecdhe_ecdsa_aes_256_gcm_sha384 | ecdhe_rsa_aes_128_cbc_sha256 | ecdhe_rsa_aes_128_gcm_sha256 | ecdhe_rsa_aes_256_cbc_sha384 | ecdhe_rsa_aes_256_gcm_sha384 | rsa_aes_128_cbc_sha | rsa_aes_128_cbc_sha256 | rsa_aes_256_cbc_sha | rsa_aes_256_cbc_sha256 }
非FIPS模式下：
SSL客户端策略支持的加密套件为rsa_rc4_128_md5。
FIPS模式下：
SSL客户端策略支持的加密套件为rsa_aes_128_cbc_sha。
SSL客户端策略视图
mdc-admin
dhe_rsa_aes_128_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用128位的AES、MAC算法采用SHA。
dhe_rsa_aes_128_cbc_sha256：密钥交换算法采用DHE RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。
dhe_rsa_aes_256_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用256位的AES、MAC算法采用SHA。
dhe_rsa_aes_256_cbc_sha256：密钥交换算法采用DHE RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA256。
ecdhe_ecdsa_aes_128_cbc_sha256：密钥交换算法采用ECDHE ECDSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。
ecdhe_ecdsa_aes_128_gcm_sha256：密钥交换算法采用ECDHE ECDSA、数据加密算法采用128位的AES_GCM、MAC算法采用SHA256。
ecdhe_ecdsa_aes_256_cbc_sha384：密钥交换算法采用ECDHE ECDSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA384。
ecdhe_ecdsa_aes_256_gcm_sha384：密钥交换算法采用ECDHE ECDSA、数据加密算法采用256位的AES_GCM、MAC算法采用SHA384。
ecdhe_rsa_aes_128_cbc_sha256：密钥交换算法采用ECDHE RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。
ecdhe_rsa_aes_128_gcm_sha256：密钥交换算法采用ECDHE RSA、数据加密算法采用128位的AES_GCM、MAC算法采用SHA256。
ecdhe_rsa_aes_256_cbc_sha384：密钥交换算法采用ECDHE RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA384。
ecdhe_rsa_aes_256_gcm_sha384：密钥交换算法采用ECDHE RSA、数据加密算法采用256位的AES_GCM、MAC算法采用SHA384。
exp_rsa_des_cbc_sha：满足出口限制的算法套件。密钥交换算法采用RSA、数据加密算法采用DES_CBC、MAC算法采用SHA。
exp_rsa_rc2_md5：满足出口限制的算法套件。密钥交换算法采用RSA、数据加密算法采用RC2、MAC算法采用MD5。
exp_rsa_rc4_md5：满足出口限制的算法套件。密钥交换算法采用RSA、数据加密算法采用RC4、MAC算法采用MD5。
rsa_3des_ede_cbc_sha：密钥交换算法采用RSA、数据加密算法采用3DES_EDE_CBC、MAC算法采用SHA。
rsa_aes_128_cbc_sha：密钥交换算法采用RSA、数据加密算法采用128位AES_CBC、MAC算法采用SHA。
rsa_aes_128_cbc_sha256：密钥交换算法采用RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。
rsa_aes_256_cbc_sha：密钥交换算法采用RSA、数据加密算法采用256位AES_CBC、MAC算法采用SHA。
rsa_aes_256_cbc_sha256：密钥交换算法采用RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA256。
rsa_des_cbc_sha：密钥交换算法采用RSA、数据加密算法采用DES_CBC、MAC算法采用SHA。
rsa_rc4_128_md5：密钥交换算法采用RSA、数据加密算法采用128位的RC4、MAC算法采用MD5。
rsa_rc4_128_sha：密钥交换算法采用RSA、数据加密算法采用128位的RC4、MAC算法采用SHA。
为了提高安全性，SSL协议采用了如下算法：
· 数据加密算法：用来对传输的数据进行加密，以保证数据传输的私密性。常用的数据加密算法通常为对称密钥算法，如DES_CBC、3DES_EDE_CBC、AES_CBC、RC4等。使用对称密钥算法时，要求SSL服务器端和SSL客户端具有相同的密钥。
· MAC（Message Authentication Code，消息验证码）算法：用来计算数据的MAC值，以防止发送的数据被篡改。常用的MAC算法有MD5、SHA等。使用MAC算法时，要求SSL服务器端和SSL客户端具有相同的密钥。
· 密钥交换算法：用来实现密钥交换，以保证对称密钥算法、MAC算法中使用的密钥在SSL服务器端和SSL客户端之间安全地传递。常用的密钥交换算法通常为非对称密钥算法，如RSA。
通过本命令可以配置SSL客户端策略支持的算法组合。例如，rsa_des_cbc_sha表示SSL客户端支持的密钥交换算法为RSA、数据加密算法为DES_CBC、MAC算法为SHA。
SSL客户端将本端支持的加密套件发送给SSL服务器，SSL服务器将自己支持的加密套件与SSL客户端支持的加密套件比较。如果SSL服务器支持的加密套件中存在SSL客户端支持的加密套件，则加密套件协商成功；否则，加密套件协商失败。
# 配置SSL客户端策略支持的加密套件为：密钥交换算法采用RSA、数据加密算法采用128位AES_CBC、MAC算法采用SHA。
[Sysname] ssl client-policy policy1
[Sysname-ssl-client-policy-policy1] prefer-cipher rsa_aes_128_cbc_sha
server-verify enable命令用来配置客户端需要对服务器端进行基于数字证书的身份验证。
undo server-verify enable命令用来配置客户端不要求对服务器端进行基于数字证书的身份验证，默认SSL服务器身份合法。
SSL客户端需要对SSL服务器端进行基于数字证书的身份验证。
SSL客户端策略视图
mdc-admin
SSL通过数字证书实现对对端的身份进行验证。数字证书的详细介绍，请参见“安全配置指导”中的“PKI”。
如果执行了server-verify enable命令，则SSL服务器端需要将自己的数字证书提供给客户端，以便客户端对服务器端进行基于数字证书的身份验证。只有身份验证通过后，SSL客户端才会访问该SSL服务器。
# 配置SSL客户端需要对SSL服务器端进行基于数字证书的身份验证。
[Sysname] ssl client-policy policy1
[Sysname-ssl-client-policy-policy1] server-verify enable
session cachesize命令用来配置SSL服务器上可以缓存的最大会话数目。
undo session cachesize命令用来恢复缺省情况。
SSL服务器上可以缓存的最大会话数目为500个。
SSL服务器端策略视图
mdc-admin
size：缓存的最大会话数目，取值范围为100～1000。
通过SSL握手协议协商会话参数并建立会话的过程比较复杂。为了简化SSL握手过程，SSL允许重用已经协商出的会话参数建立会话。为此，SSL服务器上需要保存已有的会话信息。本命令用来限制可以保存的会话数目。如果缓存的会话数目达到最大值，SSL将拒绝缓存新协商出的会话。
# 配置SSL服务器上可以缓存的最大会话数目为600个。
[Sysname] ssl server-policy policy1
[Sysname-ssl-server-policy-policy1] session cachesize 600
ssl client-policy命令用来创建SSL客户端策略，并进入SSL客户端策略视图。
undo ssl client-policy命令用来删除已创建的SSL客户端策略。
undo ssl client-policy policy-name
设备上不存在任何SSL客户端策略。
mdc-admin
policy-name：SSL客户端策略名，为1～31个字符的字符串，不区分大小写。
SSL客户端策略视图下可以配置SSL客户端启动时使用的SSL参数，如使用的PKI域、支持的加密套件等。只有与应用层协议，如DDNS（Dynamic Domain Name System，动态域名系统），关联后，SSL客户端策略才能生效。
# 创建SSL客户端策略policy1，并进入SSL客户端策略视图。
[Sysname] ssl client-policy policy1
[Sysname-ssl-client-policy-policy1]
ssl renegotiation disable命令用来关闭SSL重协商。
undo ssl renegotiation disable命令用来恢复缺省情况。
【命令】
ssl renegotiation disable
undo ssl renegotiation disable
【缺省情况】
允许SSL重协商。
系统视图
network-admin
mdc-admin
【使用指导】
关闭SSL重协商是指，不允许复用已有的SSL会话进行SSL快速协商，每次SSL协商必须进行完整的SSL握手过程。关闭SSL重协商会导致系统付出更多的计算开销，但可以避免潜在的风险，安全性更高。
通常情况下，不建议关闭SSL重协商。本命令仅用于用户明确要求关闭重协商的场景。
# 关闭SSL重协商。
<Sysname> system-view
[Sysname] ssl renegotiation disable
ssl server-policy命令用来创建SSL服务器端策略，并进入SSL服务器端策略视图。
undo ssl server-policy命令用来删除已创建的SSL服务器端策略。
undo ssl server-policy policy-name
设备上不存在任何SSL服务器端策略。
mdc-admin
policy-name：SSL服务器端策略名，为1～31个字符的字符串，不区分大小写。
SSL服务器端策略视图下可以配置SSL服务器启动时使用的SSL参数，如使用的PKI域、支持的加密套件等。只有与HTTPS等应用关联后，SSL服务器端策略才能生效。
# 创建SSL服务器端策略policy1，并进入SSL服务器端策略视图。
[Sysname] ssl server-policy policy1
[Sysname-ssl-server-policy-policy1]
ssl version disable命令用来关闭对应版本号的SSL协商功能。
undo ssl version disable命令用来恢复缺省情况。
【命令】
非FIPS模式下：
ssl version { ssl3.0 | tls1.0 | tls1.1 } * disable
undo ssl version { ssl3.0 | tls1.0 | tls1.1 } * disable
FIPS模式下：
ssl version { tls1.0 | tls1.1 } * disable
undo ssl version { tls1.0 | tls1.1 } * disable
【缺省情况】
非FIPS模式下：
允许使用SSL3.0、TLS1.0、TLS1.1、TLS1.2版本的协商功能。
FIPS模式下：
允许使用TLS1.0、TLS1.1、TLS1.2版本的协商功能。
【视图】
【缺省用户角色】
network-admin
mdc-admin
【参数】
ssl3.0：SSL协商的版本为SSL3.0。
tls1.0：SSL协商的版本为TLS1.0。
tls1.1：SSL协商的版本为TLS1.1。
【使用指导】
当对系统安全性有较高要求时可以关闭SSL3.0、TLS1.0和TLS1.1版本的协商功能。
· 如果系统视图下关闭了某版本的SSL协商功能，但SSL客户端策略视图下配置了对应的协议版本，则该SSL客户端策略仍可使用该版本的SSL协商功能。
· 如果系统视图下同时关闭了SSL3.0、TLS1.0和TLS1.1版本的SSL协商功能，则SSL服务器端策略只能使用TLS1.2版本进行SSL协商，否则与客户端设备协商使用的版本。
需要注意的是，如果通过本命令关闭了指定版本的SSL协商功能，并不会同时关闭比其更低版本的SSL协商功能，例如，ssl version tls1.1 disable命令仅表示关闭了TLS1.1版本的SSL协商功能，不会同时关闭TLS1.0版本。
【举例】
# 关闭SSL 3.0版本。
[Sysname] ssl version ssl3.0 disable
version命令用来配置SSL客户端策略使用的SSL协议版本。
undo version命令恢复缺省情况。
非FIPS模式下：
version { ssl3.0 | tls1.0 | tls1.1 | tls1.2 }
FIPS模式下：
version { tls1.0 | tls1.1 | tls1.2 }
SSL客户端策略使用的SSL协议版本为TLS 1.0。
SSL客户端策略视图
mdc-admin
ssl3.0：版本为SSL 3.0。
tls1.0：版本为TLS 1.0。
tls1.1：版本为TLS1.1。
tls1.2：版本为TLS1.2。
系统视图下可以关闭SSL3.0/TLS1.0/TLS1.1版本(配置命令ssl version disable)。如果使用本命令配置的SSL协议版本，在系统视图下被关闭， SSL客户端仍可使用该版本。
对安全性要求较高的环境下，建议为不要为SSL客户端指定SSL3.0 版本。
# 配置SSL客户端策略使用的SSL协议版本为TLS 1.0。
[Sysname] ssl client-policy policy1
[Sysname-ssl-client-policy-policy1] version tls1.0
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
