03-安全命令参考

17-SSL命令

1 SSL

非缺省vSystem不支持本特性的部分命令，具体情况请见本文相关描述。有关vSystem的详细介绍请参见“虚拟化技术配置指导”中的“vSystem”。

‌

1.1 SSL配置命令

1.1.1 certificate-chain-sending enable

certificate-chain-sending enable命令用来配置SSL协商时SSL服务器端发送完整的证书链。

undo certificate-chain-sending enable命令用来恢复缺省情况。

【命令】

certificate-chain-sending enable

undo certificate-chain-sending enable

【缺省情况】

SSL协商时，SSL服务器端只发送本地证书，不发送证书链。

【视图】

SSL服务器端策略视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【使用指导】

仅当SSL客户端没有完整的证书链对服务器端的数字证书进行验证时，请通过本命令要求SSL服务器端在握手协商时向对端发送完整的证书链，以保证SSL会话的正常建立。否则，建议关闭此功能，减轻协商阶段的网络开销。

【举例】

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] certificate-chain-sending enable

1.1.2 certificate-verify sm3 enhance

certificate-verify sm3 enhance命令用来配置SSL客户端在国密SSL双向认证过程中构造Certificate Veirify消息时进行两次Hash计算。

undo certificate-verify sm3 enhance命令用来恢复缺省情况。

【命令】

certificate-verify sm3 enhance

undo certificate-verify sm3 enhance

【缺省情况】

SSL客户端在国密SSL双向认证过程中构造Certificate Veirify消息时只进行一次Hash计算。

【视图】

SSL客户端策略视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【使用指导】

工作机制

在使用国密SSL（SSL协议版本为GM-TLS1.1）进行SSL双向认证的过程中，SSL客户端在构造Certificate Veirify消息时会对当前已交互的握手消息进行一次Hash值计算，再通过Certificate Veirify消息发送给SSL服务器。

配置本功能后，SSL客户端在国密SSL双向认证过程中构造Certificate Veirify消息时，会对当前已交互的握手消息进行两次Hash计算，再通过Certificate Veirify消息发送给SSL服务器。

注意事项

本功能仅对SSLVPN、LB业务生效。

【举例】

# 配置SSL客户端在国密SSL双向认证过程中构造Certificate Veirify消息时进行两次Hash计算。

<Sysname> system-view

[Sysname] ssl client-policy policy1

[Sysname-ssl-client-policy-policy1] certificate-verify sm3 enhance

【相关命令】

· client-verify enable

1.1.3 ciphersuite

ciphersuite命令用来配置SSL服务器端策略支持的加密套件。

undo ciphersuite命令用来恢复缺省情况。

【命令】

ciphersuite { dhe_rsa_aes_128_cbc_sha | dhe_rsa_aes_128_cbc_sha256 | dhe_rsa_aes_128_gcm_sha256 | dhe_rsa_aes_256_cbc_sha | dhe_rsa_aes_256_cbc_sha256 | dhe_rsa_aes_256_gcm_sha384 | dhe_rsa_camellia_128_cbc_sha | dhe_rsa_camellia_256_cbc_sha | ecc_sm2_sm1_sm3 | ecc_sm2_sm4_sm3 | ecdhe_ecdsa_aes_128_cbc_sha | ecdhe_ecdsa_aes_128_cbc_sha256 | ecdhe_ecdsa_aes_128_gcm_sha256 | ecdhe_ecdsa_aes_256_cbc_sha | ecdhe_ecdsa_aes_256_cbc_sha384 | ecdhe_ecdsa_aes_256_gcm_sha384 | ecdhe_rsa_aes_128_cbc_sha | ecdhe_rsa_aes_128_cbc_sha256 | ecdhe_rsa_aes_128_gcm_sha256 | ecdhe_rsa_aes_256_cbc_sha | ecdhe_rsa_aes_256_cbc_sha384 | ecdhe_rsa_aes_256_gcm_sha384 | ecdhe_sm2_sm1_sm3 | ecdhe_sm2_sm4_sm3 | rsa_3des_ede_cbc_sha | rsa_aes_128_cbc_sha | rsa_aes_128_cbc_sha256 | rsa_aes_128_gcm_sha256 | rsa_aes_256_cbc_sha | rsa_aes_256_cbc_sha256 | rsa_aes_256_gcm_sha384 | rsa_camellia_128_cbc_sha | rsa_camellia_256_cbc_sha | rsa_des_cbc_sha | rsa_sm1_sha | rsa_sm1_sm3 | rsa_sm4_sha | rsa_sm4_sm3 | tls_aes_128_ccm_sha256 | tls_aes_128_ccm_8_sha256 | tls_aes_128_gcm_sha256 | tls_aes_256_gcm_sha384 | tls_chacha20_poly1305_sha256 } *

undo ciphersuite

【缺省情况】

SSL服务器端策略支持的加密套件为ECC_SM2_SM1_SM3、ECC_SM2_SM4_SM3、ECDHE_SM2_SM1_SM3、ECDHE_SM2_SM4_SM3、RSA_SM1_SHA、RSA_SM1_SM3、RSA_SM4_SHA、RSA_SM4_SM3、RSA_AES_128_CBC_SHA、RSA_AES_256_CBC_SHA、DHE_RSA_AES_128_CBC_SHA、DHE_RSA_AES_256_CBC_SHA、RSA_AES_128_CBC_SHA256、RSA_AES_256_CBC_SHA256、DHE_RSA_AES_128_CBC_SHA256、DHE_RSA_AES_256_CBC_SHA256、ECDHE_RSA_AES_128_CBC_SHA256、ECDHE_RSA_AES_256_CBC_SHA384、ECDHE_RSA_AES_128_GCM_SHA256、ECDHE_RSA_AES_256_GCM_SHA384、ECDHE_ECDSA_AES_128_CBC_SHA256、ECDHE_ECDSA_AES_256_CBC_SHA384、ECDHE_ECDSA_AES_128_GCM_SHA256、ECDHE_ECDSA_AES_256_GCM_SHA384、RSA_AES_128_GCM_SHA256、RSA_AES_256_GCM_SHA384、TLS_AES_128_GCM_SHA256、TLS_AES_256_GCM_SHA384、TLS_CHACHA20_POLY1305_SHA256、TLS_AES_128_CCM_SHA256、TLS_AES_128_CCM_8_SHA256。

【视图】

SSL服务器端策略视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【参数】

dhe_rsa_aes_128_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA。

dhe_rsa_aes_128_cbc_sha256：密钥交换算法采用DHE RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。

dhe_rsa_aes_128_gcm_sha256：密钥交换算法采用DHE RSA、数据加密算法采用128位的AES_GCM、MAC算法采用SHA256。

dhe_rsa_aes_256_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA。

dhe_rsa_aes_256_cbc_sha256：密钥交换算法采用DHE RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA256。

dhe_rsa_aes_256_gcm_sha384：密钥交换算法采用DHE RSA、数据加密算法采用256位的AES_GCM、MAC算法采用SHA384。

dhe_rsa_camellia_128_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用128位的CAMELLIA_CBC、MAC算法采用SHA。

dhe_rsa_camellia_256_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用256位的CAMELLIA_CBC、MAC算法采用SHA。

ecc_sm2_sm1_sm3：密钥交换算法采用ECC SM2、数据加密算法采用128位的SM1、MAC算法采用SM3。

ecc_sm2_sm4_sm3：密钥交换算法采用ECC SM2、数据加密算法采用SM4、MAC算法采用SM3。

ecdhe_ecdsa_aes_128_cbc_sha：密钥交换算法采用ECDHE ECDSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA。

ecdhe_ecdsa_aes_128_cbc_sha256：密钥交换算法采用ECDHE ECDSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。

ecdhe_ecdsa_aes_128_gcm_sha256：密钥交换算法采用ECDHE ECDSA、数据加密算法采用128位的AES_GCM、MAC算法采用SHA256。

ecdhe_ecdsa_aes_256_cbc_sha：密钥交换算法采用ECDHE ECDSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA。

ecdhe_ecdsa_aes_256_cbc_sha384：密钥交换算法采用ECDHE ECDSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA384。

ecdhe_ecdsa_aes_256_gcm_sha384：密钥交换算法采用ECDHE ECDSA、数据加密算法采用256位的AES_GCM、MAC算法采用SHA384。

ecdhe_rsa_aes_128_cbc_sha：密钥交换算法采用ECDHE RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA。

ecdhe_rsa_aes_128_cbc_sha256：密钥交换算法采用ECDHE RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。

ecdhe_rsa_aes_128_gcm_sha256：密钥交换算法采用ECDHE RSA、数据加密算法采用128位的AES_GCM、MAC算法采用SHA256。

ecdhe_rsa_aes_256_cbc_sha：密钥交换算法采用ECDHE RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA。

ecdhe_rsa_aes_256_cbc_sha384：密钥交换算法采用ECDHE RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA384。

ecdhe_rsa_aes_256_gcm_sha384：密钥交换算法采用ECDHE RSA、数据加密算法采用256位的AES_GCM、MAC算法采用SHA384。

ecdhe_sm2_sm1_sm3：密钥交换算法采用ECDHE SM2、数据加密算法采用128位的SM1、MAC算法采用SM3。

ecdhe_sm2_sm4_sm3：密钥交换算法采用ECDHE SM2、数据加密算法采用SM4、MAC算法采用SM3。

rsa_3des_ede_cbc_sha：密钥交换算法采用RSA、数据加密算法采用3DES_EDE_CBC、MAC算法采用SHA。

rsa_aes_128_cbc_sha：密钥交换算法采用RSA、数据加密算法采用128位AES_CBC、MAC算法采用SHA。

rsa_aes_128_cbc_sha256：密钥交换算法采用RSA、数据加密算法采用128位的AES_CBC、MAC算法采用SHA256。

rsa_aes_128_gcm_sha256：密钥交换算法采用RSA、数据加密算法采用128位的AES_GCM、MAC算法采用SHA256。

rsa_aes_256_cbc_sha：密钥交换算法采用RSA、数据加密算法采用256位AES_CBC、MAC算法采用SHA。

rsa_aes_256_cbc_sha256：密钥交换算法采用RSA、数据加密算法采用256位的AES_CBC、MAC算法采用SHA256。

rsa_aes_256_gcm_sha384：密钥交换算法采用RSA、数据加密算法采用256位的AES_GCM、MAC算法采用SHA384。

rsa_camellia_128_cbc_sha：密钥交换算法采用RSA、数据加密算法采用128位的CAMELLIA_CBC、MAC算法采用SHA。

rsa_camellia_256_cbc_sha：密钥交换算法采用RSA、数据加密算法采用256位的CAMELLIA_CBC、MAC算法采用SHA。

rsa_des_cbc_sha：密钥交换算法采用RSA、数据加密算法采用DES_CBC、MAC算法采用SHA。

rsa_sm1_sha：密钥交换算法采用RSA、数据加密算法采用128位的SM1、MAC算法采用SHA。

rsa_sm1_sm3：密钥交换算法采用RSA、数据加密算法采用128位的SM1、MAC算法采用SM3。

rsa_sm4_sha：密钥交换算法采用RSA、数据加密算法采用SM4、MAC算法采用SHA。

rsa_sm4_sm3：密钥交换算法采用RSA、数据加密算法采用SM4、MAC算法采用SM3。

tls_aes_128_ccm_sha256:数据加密算法采用AES 128 CCM、MAC算法采用SHA256。本加密套件为TLS1.3专属加密套件。

tls_aes_128_ccm_8_sha256:数据加密算法采用AES 128 CCM 8、MAC算法采用SHA256。本加密套件为TLS1.3专属加密套件。

tls_aes_128_gcm_sha256:数据加密算法采用128位的AES_GCM、MAC算法采用SHA256。本加密套件为TLS1.3专属加密套件。

tls_aes_256_gcm_sha384:数据加密算法采用256位的AES_GCM、MAC算法采用SHA384。本加密套件为TLS1.3专属加密套件。

tls_chacha20_poly1305_sha256:数据加密算法采用CHACHA20 POLY1305、MAC算法采用SHA256。本加密套件为TLS1.3专属加密套件。

【使用指导】

为了提高安全性，SSL协议采用了如下算法：

· 数据加密算法：用来对传输的数据进行加密，以保证数据传输的私密性。常用的数据加密算法通常为对称密钥算法，如DES_CBC、3DES_EDE_CBC、AES_CBC等。使用对称密钥算法时，要求SSL服务器端和SSL客户端具有相同的密钥。

· MAC（Message Authentication Code，消息验证码）算法：用来计算数据的MAC值，以防止发送的数据被篡改。常用的MAC算法有MD5、SHA等。使用MAC算法时，要求SSL服务器端和SSL客户端具有相同的密钥。

· 密钥交换算法：用来实现密钥交换，以保证对称密钥算法、MAC算法中使用的密钥在SSL服务器端和SSL客户端之间安全地传递。常用的密钥交换算法通常为非对称密钥算法，如RSA。

通过本命令可以配置SSL服务器端策略支持的各种算法组合。例如，rsa_des_cbc_sha表示SSL服务器端策略支持的密钥交换算法为RSA、数据加密算法为DES_CBC、MAC算法为SHA。

SSL服务器接收到SSL客户端发送的客户端加密套件后，将服务器支持的加密套件与SSL客户端支持的加密套件比较。如果SSL服务器支持的加密套件中存在SSL客户端支持的加密套件，则加密套件协商成功；否则，加密套件协商失败。协商时可以以服务器端配置的加密套件顺序进行匹配，也可以以客户端支持的加密套件顺序进行匹配，具体选择哪一种方法取决于ciphersuite server-preferred enable命令的配置。

加密套件的配置顺序即为加密套件的优先级顺序。

执行本命令时，一次最多可以指定11个加密套件。如果多次执行本命令，那么SSL服务器端策略支持的加密套件是指定的加密套件的合集。

【举例】

# 指定SSL服务器端策略支持如下加密套件：

· 密钥交换算法为DHE RSA、数据加密算法为128位的AES_CBC、MAC算法为SHA

· 密钥交换算法为RSA、数据加密算法为128位的AES_CBC、MAC算法为SHA

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] ciphersuite dhe_rsa_aes_128_cbc_sha rsa_aes_128_cbc_sha

【相关命令】

· display ssl server-policy

· prefer-cipher

· ciphersuite server-preferred enable

1.1.4 ciphersuite server-preferred enable

ciphersuite server-preferred enable命令用来开启SSL服务器与客户端进行算法协商时按照服务器端配置的加密套件顺序进行匹配的功能。

undo ciphersuite server-preferred enable命令用来关闭SSL服务器与客户端进行算法协商时按照服务器端配置的加密套件顺序进行匹配的功能。

【命令】

ciphersuite server-preferred enable

undo ciphersuite server-preferred enable

【缺省情况】

SSL服务器与客户端进行算法协商时按照客户端支持的加密套件的顺序进行匹配。

【视图】

SSL服务器端策略视图

【缺省用户角色】

network-admin

context-admin

【使用指导】

非缺省vSystem不支持本命令。

缺省情况下，SSL服务器与客户端进行SSL协商时按照客户端支持的加密套件的顺序来进行匹配，即按照优先级从高到低的顺序，依次选取SSL客户端的加密套件，然后从SSL服务器端查找与之匹配的加密套件，直到匹配成功。如果没有任何一个加密套件匹配成功，则协商失败。

配置ciphersuite server-preferred enable命令后，SSL服务器与客户端进行SSL协商时按照服务器端配置的加密套件的顺序来进行匹配，即按照优先级从高到低的顺序，依次选取SSL服务器的加密套件，然后从SSL客户端查找与之匹配的加密套件，直到匹配成功。如果没有任何一个加密套件匹配成功，则协商失败。

【举例】

# 配置SSL服务器与SSL客户端进行算法协商时按照服务器端配置的加密套件顺序进行匹配。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] ciphersuite server-preferred enable

【相关命令】

· ciphersuite

· display ssl server-policy

· prefer-cipher

1.1.5 client-verify

client-verify命令用来配置SSL服务器端对SSL客户端的身份验证方案。

undo client-verify命令用来恢复缺省情况。

【命令】

client-verify { enable | optional }

undo client-verify

【缺省情况】

SSL服务器端不对SSL客户端进行基于数字证书的身份验证。

【视图】

SSL服务器端策略视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【参数】

enable：表示SSL服务器端要求对SSL客户端进行基于数字证书的身份验证。

optional：表示SSL服务器端不强制要求对SSL客户端进行基于数字证书的身份验证，即身份验证可选。

【使用指导】

SSL通过数字证书实现对对端的身份进行验证。数字证书的详细介绍，请参见“安全配置指导”中的“PKI”。

设备作为SSL服务器端，支持灵活的SSL客户端认证方案，具体如下：

· 执行了client-verify enable命令的情况下，则SSL客户端必须将自己的数字证书提供给服务器，以便服务器对客户端进行基于数字证书的身份验证。只有身份验证通过后，SSL客户端才能访问SSL服务器。

· 执行了client-verify optional命令的情况下，若SSL客户端未提供数字证书给服务器，SSL客户端也能访问SSL服务器；若SSL客户端提供数字证书给服务器，只有身份验证通过后，SSL客户端才能访问SSL服务器。

· 执行了undo client-verify命令的情况下，SSL服务器端不要求SSL客户端提供数字证书，也不会对其进行基于数字证书的身份验证，SSL客户端可以直接访问SSL服务器。

SSL服务器端在基于数字证书对SSL客户端进行身份验证时，除了对SSL客户端发送的证书链进行验证，还要检查证书链中的除根CA证书外的每个证书是否均未被吊销。

【举例】

# 配置SSL服务器端要求对SSL客户端进行基于数字证书的身份验证。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] client-verify enable

# 配置SSL服务器端对SSL客户端进行基于数字证书的身份验证是可选的。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] client-verify optional

# 配置SSL服务器端不要求对SSL客户端进行基于数字证书的身份验证。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] undo client-verify

【相关命令】

· display ssl server-policy

1.1.6 display ssl client-policy

display ssl client-policy命令用来显示SSL客户端策略的信息。

【命令】

display ssl client-policy [ policy-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

context-admin

context-operator

vsys-admin

vsys-operator

【参数】

policy-name：显示指定的SSL客户端策略的信息，为1～255个字符的字符串，不区分大小写。如果不指定本参数，则显示所有SSL客户端策略的信息。

【举例】

# 显示名为policy1的SSL客户端策略的信息。

<Sysname> display ssl client-policy policy1

SSL client policy: policy1

SSL version: SSL 3.0

PKI domain: client-domain

Preferred ciphersuite:

RSA_AES_128_CBC_SHA

Server-verify: enabled

# 显示名为policy2的SSL客户端策略的信息。

<Sysname> display ssl client-policy policy2

SSL client policy: policy2

SSL version: TLS 1.3

PKI domain:

Preferred ciphersuite:

TLS_AES_128_GCM_SHA256

TLS_CHACHA20_POLY1305_SHA256

TLS_AES_256_GCM_SHA384

TLS_AES_128_CCM_8_SHA256

TLS_AES_128_CCM_SHA256

Server-verify: enabled

表1-1 display ssl client-policy命令显示信息描述表

字段	描述
SSL client policy	SSL客户端策略名
SSL version	SSL客户端策略使用的SSL协议版本： · SSL3.0。 · TLS1.0 · TLS1.1 · TLS1.2 · TLS1.3 · GM-TLS1.1
PKI domain	SSL客户端策略使用的PKI域
Preferred ciphersuite	SSL客户端策略支持的加密套件
Server-verify	SSL客户端策略的服务器端验证模式，取值包括： · disabled：不要求对SSL服务器进行基于数字证书的身份验证 · enabled：要求对SSL服务器进行基于数字证书的身份验证

1.1.7 display ssl server-policy

display ssl server-policy命令用来显示SSL服务器端策略的信息。

【命令】

display ssl server-policy [ policy-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

context-admin

context-operator

vsys-admin

vsys-operator

【参数】

policy-name：显示指定的SSL服务器端策略的信息，为1～255个字符的字符串，不区分大小写。如果不指定本参数，则显示所有SSL服务器端策略的信息。

【举例】

# 显示名为policy1的SSL服务器端策略的信息。

<Sysname> display ssl server-policy policy1

SSL server policy: policy1

Version info:

SSL3.0: Disabled

TLS1.0: Enabled

TLS1.1: Disabled

TLS1.2: Enabled

TLS1.3: Enabled

GM-TLS1.1: Disabled

PKI domains: server-domain

Ciphersuites:

DHE_RSA_AES_128_CBC_SHA

RSA_AES_128_CBC_SHA

TLS_AES_128_GCM_SHA256

TLS_CHACHA20_POLY1305_SHA256

TLS_AES_256_GCM_SHA384

TLS_AES_128_CCM_8_SHA256

TLS_AES_128_CCM_SHA256

Session cache size: 600

Caching timeout: 3600 seconds

Client-verify: Enabled

Ciphersuite server-perferred: Disabled

表1-2 display ssl server-policy命令显示信息描述表

字段	描述
SSL server policy	SSL服务器端策略名
Version info	SSL服务器端实际使用的版本： · SSL3.0 · TLS1.0 · TLS1.1 · TLS1.2 · TLS1.3 · GM-TLS1.1 SSL服务器端是否允许使用版本： · Enabled：允许使用 · Disabled：不允许使用
PKI domains	SSL服务器端策略使用的PKI域
Ciphersuites	SSL服务器端策略支持的加密套件
Session cache size	SSL服务器端可以缓存的最大会话数目
Caching timeout	SSL服务器端会话缓存超时时间（单位为秒）
Client-verify	SSL服务器端策略的客户端验证模式，取值包括： · Disabled：不要求对客户端进行基于数字证书的身份验证 · Enabled：要求对客户端进行基于数字证书的身份验证 · Optional：SSL服务器端对SSL客户端进行基于数字证书的身份验证是可选的
Ciphersuite server-preferred	SSL服务器与SSL客户端进行算法协商时，是否按照服务器端配置的加密套件顺序进行匹配： · Enabled：按照服务器端配置的加密套件顺序进行匹配 · Disabled：不按照服务器端配置的加密套件顺序进行匹配，而是按照客户端支持的加密套件顺序进行匹配

1.1.8 ems enable

ems enable命令用来开启EMS功能。

undo ems enable命令用来关闭EMS功能。

【命令】

ems enable

undo ems enable

【缺省情况】

EMS功能处于开启状态。

【视图】

SSL客户端策略视图

SSL服务器端策略视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【使用指导】

EMS（Extended Master Secret，扩展主密钥）是一种SSL扩展类型，配置本功能后，SSL协商过程中会使用增强型主密钥计算方式，可以防范中间攻击者对报文进行改动。

本功能仅对SSLVPN、LB业务生效。

【举例】

# 配置SSL服务器端开启EMS功能。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] ems enable

【相关命令】

· ssl server-policy

· ssl client-policy

1.1.9 pki-domain (SSL client policy view)

pki-domain命令用来配置SSL客户端策略所使用的PKI域。

undo pki-domain命令用来恢复缺省情况。

【命令】

pki-domain domain-name

undo pki-domain

【缺省情况】

未指定SSL客户端策略所使用的PKI域。

【视图】

SSL客户端策略视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【参数】

domain-name：PKI域的域名，为1～255个字符的字符串，不区分大小写。

【使用指导】

如果通过本命令指定了SSL客户端策略使用的PKI域，则引用该客户端策略的SSL客户端将通过该PKI域获取客户端的数字证书。

【举例】

# 配置SSL客户端策略所使用的PKI域为client-domain。

<Sysname> system-view

[Sysname] ssl client-policy policy1

[Sysname-ssl-client-policy-policy1] pki-domain client-domain

【相关命令】

· display ssl client-policy

· pki domain（安全命令参考/PKI）

1.1.10 pki-domain (SSL server policy view)

pki-domain命令用来配置SSL服务器端策略所使用的PKI域。

undo pki-domain命令用来恢复缺省情况。

【命令】

pki-domain domain-name&<1-2>

undo pki-domain

【缺省情况】

未指定SSL服务器端策略所使用的PKI域。

【视图】

SSL服务器端策略视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【参数】

domain-name：PKI域的域名，为1～255个字符的字符串，不区分大小写。&<1-2>表示前面的参数最少输入1次，最多可以输入2次。

【使用指导】

如果通过本命令指定了SSL服务器端策略使用的PKI域，则引用该服务器端策略的SSL服务器将通过该PKI域获取服务器端的数字证书。

在配置SSL VPN服务、负载均衡以及代理策略等业务时，存在需要在服务器端部署两个证书的情况。此时可以使用本命令一次指定两个PKI域，使SSL服务器端策略能够同时关联两个数字证书。如果两个数字证书类型相同，则只有第一个指定的PKI域下的证书生效。

多次执行本命令时，最后一次执行的命令生效。

【举例】

# 配置SSL服务器端策略所使用的PKI域为server-domain。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] pki-domain server-domain

【相关命令】

· display ssl server-policy

· pki domain（安全命令参考/PKI）

1.1.11 prefer-cipher

prefer-cipher命令用来配置SSL客户端策略支持的加密套件。

undo prefer-cipher命令用来恢复缺省情况。

【命令】

prefer-cipher { dhe_rsa_aes_128_cbc_sha | dhe_rsa_aes_128_cbc_sha256 | dhe_rsa_aes_128_gcm_sha256 | dhe_rsa_aes_256_cbc_sha | dhe_rsa_aes_256_cbc_sha256 | dhe_rsa_aes_256_gcm_sha384 | dhe_rsa_camellia_128_cbc_sha | dhe_rsa_camellia_256_cbc_sha | ecc_sm2_sm1_sm3 | ecc_sm2_sm4_sm3 | ecdhe_ecdsa_aes_128_cbc_sha | ecdhe_ecdsa_aes_128_cbc_sha256 | ecdhe_ecdsa_aes_128_gcm_sha256 | ecdhe_ecdsa_aes_256_cbc_sha | ecdhe_ecdsa_aes_256_cbc_sha384 | ecdhe_ecdsa_aes_256_gcm_sha384 | ecdhe_rsa_aes_128_cbc_sha | ecdhe_rsa_aes_128_cbc_sha256 | ecdhe_rsa_aes_128_gcm_sha256 | ecdhe_rsa_aes_256_cbc_sha | ecdhe_rsa_aes_256_cbc_sha384 | ecdhe_rsa_aes_256_gcm_sha384 | ecdhe_sm2_sm1_sm3 | ecdhe_sm2_sm4_sm3 | rsa_3des_ede_cbc_sha | rsa_aes_128_cbc_sha | rsa_aes_128_cbc_sha256 | rsa_aes_128_gcm_sha256 | rsa_aes_256_cbc_sha | rsa_aes_256_cbc_sha256 | rsa_aes_256_gcm_sha384 | rsa_camellia_128_cbc_sha | rsa_camellia_256_cbc_sha | rsa_des_cbc_sha | rsa_sm1_sha | rsa_sm1_sm3 | rsa_sm4_sha | rsa_sm4_sm3 | tls_aes_128_ccm_sha256 | tls_aes_128_ccm_8_sha256 | tls_aes_128_gcm_sha256 | tls_aes_256_gcm_sha384 | tls_chacha20_poly1305_sha256 } *

undo prefer-cipher

【缺省情况】

SSL客户端策略支持的加密套件为DHE_RSA_AES_256_CBC_SHA、RSA_AES_256_CBC_SHA、DHE_RSA_AES_128_CBC_SHA、RSA_AES_128_CBC_SHA。