09-安全配置指导

11-PKI配置

1.1.5 证书申请支持MPLS L3VPN

1.5.5 指定用户申请证书的PKI实体名称

1.5.6 配置证书申请的注册受理机构

1.5.7 配置注册受理机构服务器的URL

1.5.8 配置证书申请状态查询的周期和最大次数

1.5.9 指定LDAP服务器

1.5.10 配置验证CA根证书时使用的指纹

1.5.11 指定证书申请时使用的密钥对

1.5.12 指定证书的扩展用途

1.5.13 指定PKI操作产生的协议报文使用的源IP地址

1.16.1 PKI实体向CA申请证书（采用RSA Keon CA服务器）

1.16.2 PKI实体向CA申请证书（采用Windows 2003 server CA服务器）

1.16.3 PKI实体向CA申请证书（采用OpenCA服务器）

1 PKI

1.1 PKI简介

PKI（Public Key Infrastructure，公钥基础设施）是一个利用公钥理论和技术来实现并提供信息安全服务的具有通用性的安全基础设施。

PKI系统以数字证书的形式分发和使用公钥。数字证书是用户的身份和用户所持有的公钥的结合。基于数字证书的PKI系统，能够为网络通信和网络交易（例如电子政务和电子商务）提供各种安全服务。有关公钥的详细介绍请参见“安全配置指导”中的“公钥管理”。

1.1.1 相关术语

1. 数字证书

数字证书是经CA（Certificate Authority，证书颁发机构）签名的、包含公钥及相关的用户身份信息的文件，它建立了用户身份信息与用户公钥的关联。CA对数字证书的签名保证了证书是可信任的。数字证书的格式遵循ITU-T X.509国际标准，目前最常用的为X.509 V3标准。数字证书中包含多个字段，包括证书签发者的名称、被签发者的名称（或者称为主题）、公钥信息、CA对证书的数字签名、证书的有效期等。

本手册中涉及四类证书：CA证书、RA（Registration Authority，证书注册机构）证书、本地证书和对端证书。

· CA证书是CA持有的证书。若PKI系统中存在多个CA，则会形成一个CA层次结构，最上层的CA是根CA，它持有一个自签名的证书（即根CA对自己的证书签名），下一级CA证书分别由上一级CA签发。这样，从根CA开始逐级签发的证书就会形成多个可信任的链状结构，每一条路径称为一个证书链。

· RA证书是RA持有的证书，由CA签发。RA受CA委托，可以为CA分担部分管理工作。RA在PKI系统中是可选的。

· 本地证书是本设备持有的证书，根据签发者的不同分为如下两种：

¡ 由CA签发的本地证书。

¡ 由设备签发的本地证书，即自签名证书。自签名证书的颁发者和拥有者相同。在设备无法向CA申请本地证书时，可以由设备代替CA签发生成自签名证书，实现简单的证书颁发功能。当设备上的业务模块使用自签名证书与对端通信时，无需从CA获取数字证书，配置相对简单，但此方式存在安全风险，仅适用于对安全性要求不高的场景。

· 对端证书是其它设备持有的证书，由CA签发。

2. CA根证书的指纹

CA根证书的指纹，即根证书内容的散列值，该值对于每一个证书都是唯一的。

3. CRL（Certificate Revocation List，证书吊销列表）

由于用户名称的改变、私钥泄漏或业务中止等原因，需要存在一种方法将现行的证书吊销，即废除公钥及相关的用户身份信息的绑定关系。在PKI中，可以通过发布CRL的方式来公开证书的吊销信息。当一个或若干个证书被吊销以后，CA签发CRL来声明这些证书是无效的，CRL中会列出所有被吊销的证书的序列号。因此，CRL提供了一种检验证书有效性的方式。

4. CA策略

CA策略是指CA在受理证书请求、颁发证书、吊销证书和发布CRL时所采用的一套标准。通常，CA以一种叫做CPS（Certification Practice Statement，证书惯例声明）的文档发布其策略。CA策略可以通过带外（如电话、磁盘、电子邮件等）或其它方式获取。由于不同的CA使用不同的策略，所以在选择信任的CA进行证书申请之前，必须理解CA策略。

1.1.2 体系结构

一个PKI体系由终端PKI实体、CA、RA和证书/CRL发布点四类实体共同组成，如下图1-1。

图1-1 PKI体系结构图

1. 终端PKI实体

终端PKI实体是PKI服务的最终使用者，可以是个人、组织、设备（如路由器、交换机）或计算机中运行的进程，后文简称为PKI实体。

2. CA（Certificate Authority，证书颁发机构）

CA是一个用于签发并管理数字证书的可信PKI实体。其作用包括：签发证书、规定证书的有效期和发布CRL。

3. RA（Registration Authority，证书注册机构）

RA是一个受CA委托来完成PKI实体注册的机构，它接收用户的注册申请，审查用户的申请资格，并决定是否同意CA给其签发数字证书，用于减轻CA的负担。建议在部署PKI系统时，RA与CA安装在不同的设备上，减少CA与外界的直接交互，以保护CA的私钥。

4. 证书/CRL发布点

证书/CRL发布点用于对用户证书和CRL进行存储和管理，并提供查询功能。通常，证书/CRL发布点位于一个目录服务器上，该服务器可以采用LDAP（Lightweight Directory Access Protocol，轻量级目录访问协议）协议、HTTP等协议工作。其中，较为常用的是LDAP协议，它提供了一种访问发布点的方式。LDAP服务器负责将CA/RA服务器传输过来的数字证书或CRL进行存储，并提供目录浏览服务。用户通过访问LDAP服务器获取自己和其他用户的数字证书或者CRL。

1.1.3 数字证书的申请、使用和维护

下面是一个PKI实体申请、使用和维护本地证书的典型工作过程，其中由RA来完成PKI实体的注册：

(1) PKI实体生成密钥对。

(2) PKI实体向RA提出证书申请；

(3) RA审核PKI实体身份，将PKI实体身份信息和公钥以数字签名的方式发送给CA；

(4) CA验证数字签名，同意PKI实体的申请，并颁发证书；

(5) RA接收CA返回的证书，将其发布到LDAP服务器（或其它形式的发布点）上以提供目录浏览服务，并通知PKI实体证书发布成功；

(6) PKI实体通过SCEP（Simple Certificate Enrollment Protocol，简单证书注册协议）从RA处获取证书，利用该证书可以与其它PKI实体使用加密、数字签名进行安全通信。

(7) 两个PKI实体互相发送自己的本地证书给对端以互相验证对端身份的合法性。

(8) 若两个PKI实体均验证对端证书为合法，则两端互相信任，可以建立数据连接；否则，两端互不信任，不能建立数据连接。

(9) 当用户的私钥泄漏或证书即将到期时，可删除本地证书再重新申请新的证书。

1.1.4 主要应用

PKI技术能满足人们对网络交易安全保障的需求。PKI的应用范围非常广泛，并且在不断发展之中，下面给出几个应用实例。

1. VPN（Virtual Private Network，虚拟专用网络）

VPN是一种构建在公用通信基础设施上的专用数据通信网络，它可以利用网络层安全协议（如IPsec）和建立在PKI上的加密与数字签名技术来获得完整性保护。

2. 安全电子邮件

电子邮件的安全也要求机密性、完整性、数据源认证和不可抵赖。目前发展很快的安全电子邮件协议S/MIME（Secure/Multipurpose Internet Mail Extensions，安全/多用途Internet邮件扩充协议)，是一个允许发送加密和有签名邮件的协议。该协议的实现需要依赖于PKI技术。

3. Web安全

为了透明地解决Web的安全问题，在浏览器和服务器之间进行通信之前，先要建立SSL连接。SSL协议允许在浏览器和服务器之间进行加密通信，并且利用PKI技术对服务器和浏览器端进行身份验证。

目前，H3C的PKI特性可为安全协议SSL（Secure Sockets Layer，安全套接字层）提供证书管理机制。

1.1.5 证书申请支持MPLS L3VPN

实际组网应用中，某企业的各分支机构属于不同的VPN，且各VPN之间的业务相互隔离。如果各分支机构的用户要通过位于总部VPN中的服务器申请证书，则需要PKI证书申请支持MPLS L3VPN。

如图1-2所示，连接客户端PKI entity的PE设备，通过MPLS L3VPN将私网客户端PKI entity的证书申请报文透传给网络另一端的CA server，CA server接收并处理证书申请信息，连接服务器端的PE设备将CA server签发的证书也通过MPLS L3VPN透传回PKI entity，满足了私网VPN业务隔离情况下的证书申请。

关于MPLS L3VPN的相关介绍请参见“MPLS配置指导”中的“MPLS L3VPN”。

图1-2 证书申请支持MPLS L3VPN

1.2 FIPS相关说明

设备运行于FIPS模式时，本特性部分配置相对于非FIPS模式有所变化，具体差异请见本文相关描述。有关FIPS模式的详细介绍请参见“安全配置指导”中的“FIPS”。

1.3 PKI配置任务简介

PKI配置任务如下：

(1) 配置PKI实体

(2) 配置PKI域

(3) （可选）配置证书和CRL的存储路径

请至少选择以下一项任务进行配置。

(5) （可选）停止证书申请过程

(6) （可选）手工获取证书

将CA签发的与PKI实体所在PKI域有关的证书保存到本地，以提高证书的查询效率，减少向PKI证书发布点查询的次数。

(7) （可选）配置证书验证

(8) （可选）导出证书

(9) （可选）删除证书

(10) （可选）开启本地证书到期提醒功能

(11) （可选）开启PKI告警功能

1.4 配置PKI实体

1. PKI实体简介

PKI实体的参数是PKI实体的身份信息，CA根据PKI实体提供的身份信息来唯一标识证书申请者。

一个有效的PKI实体参数中必须至少包括以下参数之一：

· DN（Distinguished Name，识别名），包含以下参数：

¡ 实体通用名。对于DN参数，实体的通用名必须配置。

¡ 实体所属国家代码，用标准的两字符代码表示。例如，“CN”是中国的合法国家代码，“US”是美国的合法国家代码

¡ 实体所在地理区域名称

¡ 实体所属组织名称

¡ 实体所属组织部门名称

¡ 实体所属州省

· FQDN（Fully Qualified Domain Name，完全合格域名），是PKI实体在网络中的唯一标识

· IP地址

2. 配置限制和指导

PKI实体的配置必须与CA证书颁发策略相匹配，因此建议根据CA证书颁发策略来配置PKI实体，如哪些PKI实体参数为必选配置，哪些为可选配置。申请者的身份信息必须符合CA证书颁发策略，否则证书申请可能会失败。

Windows 2000 CA服务器的SCEP插件对证书申请的数据长度有一定的限制。PKI实体配置项超过一定数据长度时，CA将不会响应PKI实体的证书申请。这种情况下如果通过离线方式提交申请，Windows 2000 CA服务器可以完成签发。其它CA服务器（例如RSA服务器和OpenCA服务器）目前没有这种限制。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建一个PKI实体，并进入该PKI实体视图。

pki entity entity-name

(3) 配置PKI实体的通用名。

common-name common-name-sting

缺省情况下，未配置PKI实体的通用名。

(4) 配置PKI实体所属国家代码。

country country-code-string

缺省情况下，未配置PKI实体所属国家代码。

(5) 配置PKI实体所在地理区域名称。

locality locality-name

缺省情况下，未配置PKI实体所在地理区域名称。

(6) 配置PKI实体所属组织名称。

organization org-name

缺省情况下，未配置PKI实体所属组织名称。

(7) 配置PKI实体所属组织部门名称。

organization-unit org-unit-name

缺省情况下，未配置PKI实体所属组织部门名称。

(8) 配置PKI实体所属州或省的名称。

state state-name

缺省情况下，未配置PKI实体所属州或省的名称。

(9) 配置PKI实体的FQDN。

fqdn fqdn-name-string

缺省情况下，未配置PKI实体的FQDN。

(10) 配置PKI实体的IP地址。

ip { ip-address | interface interface-type interface-number }

缺省情况下，未配置PKI实体的IP地址。

(11) 配置PKI实体的头衔。

title title

缺省情况下，未配置PKI实体的头衔。

1.5 配置PKI域

1.5.1 功能简介

PKI实体在进行PKI证书申请操作之前需要配置一些注册信息来配合完成申请的过程。这些信息的集合就是一个PKI域。

PKI域是一个本地概念，创建PKI域的目的是便于其它应用（比如SSL）引用PKI的配置。

1.5.2 PKI域配置任务简介

PKI域配置任务如下：

(1) 创建PKI域

(6) （可选）配置证书申请状态查询的周期和最大次数

(7) 指定LDAP服务器

在如下情况下，此配置必选：

¡ 需要通过LDAP协议获取证书。

¡ 需要通过LDAP协议获取CRL时，如果CRL的URL中未包含发布点地址信息。

(8) 配置验证CA根证书时使用的指纹

¡ 当证书申请方式为自动方式时，此配置必选。

¡ 当证书申请方式为手工方式时，此配置可选，若不配置，需要用户自行验证根证书指纹。

(9) 指定证书申请时使用的密钥对

(10) （可选）指定证书的扩展用途

(11) （可选）指定PKI操作产生的协议报文使用的源IP地址

1.5.3 创建PKI域

(1) 进入系统视图。

system-view

(2) 创建一个PKI域，并进入PKI域视图。

pki domain domain-name

1.5.4 配置设备信任的CA名称

(3) 配置验证CA根证书时使用的指纹。

（非FIPS模式）

root-certificate fingerprint { md5 | sha1 } string

（FIPS模式）

root-certificate fingerprint sha1 string

缺省情况下，未指定验证根证书时使用的指纹。

1.5.11 指定证书申请时使用的密钥对

1. 配置限制和指导

申请证书前必须指定使用的密钥对，但该密钥对不必已经存在。申请过程中，如果指定的密钥对不存在，PKI实体可以根据指定的名字、算法和密钥模数长度生成相应的密钥对。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入PKI域视图。

pki domain domain-name

获取到本地的证书和CRL有默认存储路径，但同时也允许用户根据自己的需要修改证书文件和CRL文件的存储路径。证书和CRL的存储路径可以指定为不同的路径。

修改了证书或CRL的存储目录后，原存储路径下的证书文件（以.cer和.p12为后缀的文件）和CRL文件（以.crl为后缀的文件）将被移动到新路径下保存。

2. 配置限制和指导

重新配置了证书或CRL的存储路径后为了防止证书或CRL文件的丢失，重启或关闭设备前一定要保存配置。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置证书和CRL的存储路径。

pki storage { certificates | crls } dir-path

缺省情况下，证书和CRL的存储路径为设备存储介质上的PKI目录。

1.7 申请本地证书

1.7.1 功能简介

申请证书的过程就是PKI实体向CA自我介绍的过程。PKI实体向CA提供身份信息，以及相应的公钥，这些信息将成为颁发给该PKI实体证书的主要组成部分。

PKI实体向CA提出证书申请，有离线和在线两种方式。

· 离线申请方式下，CA允许申请方通过带外方式（如电话、磁盘、电子邮件等）向CA提供申请信息。

· 在线申请方式下，实体通过SCEP协议向CA提交申请信息。在线申请有自动申请和手工申请两种方式。下文将详细介绍这两种方式的具体配置。

1.7.2 配置限制和指导

在线申请本地证书需要遵循以下配置限制和指导：

· 本地证书已存在的情况下，为保证密钥对与现存证书的一致性，不建议执行命令public-key local create或public-key local destroy创建或删除与现存证书使用的密钥对相同名称的密钥对，否则会导致现存证书不可用。有关公钥相关命令的详细介绍，请参见“安全命令参考”中的“公钥管理”。

· 若要重新申请本地证书，请先使用pki delete-certificate命令删除本地证书，然后再执行public-key local create命令生成新的密钥对。

· 一个PKI域中，只能存在DSA、ECDSA或RSA中一种密钥算法类型的本地证书。采用DSA和ECDSA算法时，一个PKI域中最多只能同时申请和存在一个本地证书；采用RSA算法时，一个PKI域中最多只能同时申请和存在一个用途为签名的RSA算法本地证书和一个用途为加密的RSA算法本地证书。

1.7.3 配置准备

申请证书之前必须保证设备的系统时钟与CA的时钟同步，否则设备可能会错误地认为证书不在有效期内，导致申请证书失败。调整系统时钟的方法请参见“基础配置指导”中的“设备管理”。

1.7.4 自动在线申请本地证书

1. 功能简介

配置证书申请方式为自动方式后，当有应用协议与PKI联动时，如果应用协议中的PKI实体无本地证书，则PKI实体自动通过SCEP协议向CA发起证书申请，并在申请成功后将本地证书获取到本地保存。在证书申请之前，若当前的PKI域中没有CA证书，也会首先自动获取CA证书。

2. 配置限制和指导

对于系统自动申请到的证书，当它们即将过期时或正式过期后，系统不会自动向CA发起重新申请。这种情况下，可能会由于证书过期造成应用协议的业务中断。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入PKI域视图。

pki domain domain-name

(3) 配置证书申请为自动方式。

certificate request mode auto [ password { cipher | simple } string ]

缺省情况下，证书申请为手工方式。

证书申请为自动方式时，可以指定吊销证书时使用的密码，是否需要指定密码是由CA服务器的策略决定的。

1.7.5 手工在线申请本地证书

1. 功能简介

配置证书申请方式为手工方式后，需要手工执行申请本地证书的操作。手工申请成功后，设备将把申请到的本地证书自动获取到本地保存。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入PKI域视图。

pki domain domain-name

(3) 配置证书申请为手工方式。

certificate request mode manual

缺省情况下，证书申请为手工方式。

(4) 退回系统视图。

quit

(5) 手工获取CA证书。

请参见“1.9 手工获取证书”。

如果PKI域中不存在CA证书，需要手工获取CA证书。CA证书用来验证获取到的本地证书的真实性和合法性。

(6) 手工申请本地证书。

pki request-certificate domain domain-name [ password password ]

此命令不会被保存在配置文件中。

手工申请本地证书时，可以指定吊销证书时使用的密码，是否需要指定密码是由CA服务器的策略决定的。

1.7.6 离线申请本地证书

1. 功能简介

当无法通过SCEP协议向CA在线申请证书时，可以采用此方式申请本地证书。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入PKI域视图。

pki domain domain-name

(3) 配置证书申请为手工方式。

certificate request mode manual

缺省情况下，证书申请为手工方式。

(4) 退回系统视图。

quit

(5) 手工获取CA证书。

请参见“1.9 手工获取证书”。

如果PKI域中不存在CA证书，需要手工获取CA证书。CA证书用来验证获取到的本地证书的真实性和合法性。

(6) 手工申请本地证书或生成PKCS#10证书申请。

pki request-certificate domain domain-name pkcs10 [ filename filename ]

此命令不会被保存在配置文件中。

(7) 通过带外方式将本地证书申请信息发送给CA。

(8) 通过带外方式将本地证书获取到本地。

(9) 将本地证书导入指定的PKI域中。

pki import domain domain-name { der local filename filename | p12 local filename filename | pem local [ filename filename ] }

1.8 停止证书申请过程

1. 功能简介

用户可以通过此配置停止正在进行中的证书申请过程。用户在证书申请时，可能由于某种原因需要改变证书申请的一些参数，比如通用名、国家代码、FQDN等，而此时证书申请过程正在进行，为了新的申请不与之前的申请发生冲突，建议先停止之前的申请，再进行新的申请。可以通过display pki certificate request-status命令查询正在进行中的证书申请过程。

另外，删除PKI域也可以停止对应的证书申请过程。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 停止证书申请过程。

pki abort-certificate-request domain domain-name

此命令不会被保存在配置文件中。

1.9 手工获取证书

1. 功能简介

获取证书的目的是：将CA签发的与PKI实体所在PKI域有关的证书存放到本地，以提高证书的查询效率，减少向PKI证书发布点查询的次数。

用户通过此配置可以将已存在的CA证书、本地证书或者外部PKI实体证书获取至本地保存。获取证书有两种方式：离线导入方式和在线方式。

· 离线导入方式：通过带外方式（如FTP、磁盘、电子邮件等）取得证书，然后将其导入至本地。如果设备所处的环境中没有证书的发布点、CA服务器不支持通过SCEP协议与设备交互、或者证书对应的密钥对由CA服务器生成，则可采用此方式获取证书。

· 在线方式：从证书发布服务器上在线获取证书并下载至本地，包括通过SCEP协议获取CA证书和通过LDAP协议获取本地或对端证书。

2. 配置限制和指导

如果本地已有CA证书存在，则不允许执行在线方式获取CA证书的操作。若想重新获取，请先使用pki delete-certificate命令删除CA证书与本地证书后，再执行获取CA证书的命令。

如果PKI域中已经有本地证书或对端证书，仍然允许执行在线方式获取本地证书或对端证书，获取到的证书直接覆盖已有证书。但对于RSA算法的证书而言，一个PKI域中可以存在一个签名用途的证书和一个加密用途的证书，不同用途的证书不会相互覆盖。

如果使能了CRL检查，手工获取证书时会触发CRL检查，如果CRL检查时发现待获取的证书已经吊销，则获取证书失败。

设备根据自身的系统时间来判断当前的证书是否还在其有效期内，设备系统时间不准确可能导致设备对于证书有效期的判断出现误差或错误，例如认为实际还在有效期内证书已过期，因此请确保设备系统时间的准确性。

3. 配置准备

获取本地证书或对端证书之前必须完成以下操作：

· 在线获取本地证书和对端证书是通过LDAP协议进行的，因此在线获取本地证书或对端证书之前必须完成PKI域中指定LDAP服务器的配置。

· 离线导入证书之前，需要通过FTP、TFTP等协议将证书文件传送到设备的存储介质中。如果设备所处的环境不允许使用FTP、TFTP等协议，则可以直接采用在终端上粘贴证书内容的方式导入，但是粘贴的证书必须是PEM（Privacy Enhanced Mail，增强保密邮件）格式的，因为只有PEM格式的证书内容为可打印字符。

· 只有存在签发本地证书的CA证书链才能成功导入本地证书，这里的CA证书链可以是保存在PKI域中的，也可以是本地证书中携带的。若设备和本地证书中都没有CA证书链，则需要预先获取到CA证书链。导入对端证书时，需要满足的条件与导入本地证书相同。

· 离线导入含有被加密的密钥对的本地证书时，需要输入加密口令。请提前联系CA服务器管理员取得该口令。

4. 配置步骤

(1) 进入系统视图。

system-view

(2) 手工获取证书。

¡ 离线导入方式

pki import domain domain-name { der { ca | local | peer } filename filename | p12 local filename filename | pem { ca | local | peer } [ filename filename ] }

¡ 在线方式

pki retrieve-certificate domain domain-name { ca | local | peer entity-name }

pki retrieve-certificate命令不会被保存在配置文件中。

1.10 配置证书验证

1.10.1 功能简介

在使用每一个证书之前，必须对证书进行验证。证书验证包括检查本地、CA证书是否由可信的CA签发，证书是否在有效期内，证书是否未被吊销。申请证书、获取证书以及应用程序使用PKI功能时，都会自动对证书进行验证，因此一般不需要使用命令行手工进行证书验证。如果用户希望在没有任何前述操作的情况下单独执行证书的验证，可以手工执行证书验证。

配置证书验证时可以设置是否必须进行CRL检查。CRL检查的目的是查看PKI实体的证书是否被CA吊销，若检查结果表明PKI实体的证书已经被吊销，那么该证书就不再被其它PKI实体信任。

· 如果配置为开启CRL检查，则需要首先从CRL发布点获取CRL。PKI域中未配置CRL发布点的URL时，从该待验证的证书中获取发布点信息：优先获取待验证的证书中记录的发布点，如果待验证的证书中没有记录发布点，则获取CA证书中记录的发布点（若待验证的证书为CA证书，则获取上一级CA证书中记录的发布点）。如果无法通过任何途径得到发布点，则通过SCEP协议获取CRL。由于设备通过SCEP获取CRL是在获取到CA证书和本地证书之后进行，因此该方式下必须保证设备已经获取到CA证书和本地证书。开启了CRL检查的情况下，如果PKI域中不存在相应的CRL、CRL获取失败、或者CRL检查时发现待获取的证书已经吊销，则手动申请证书、获取证书的操作将会失败。

· 如果配置为关闭CRL检查，则不需要获取CRL。

1.10.2 配置限制和指导

验证一个PKI域中的CA证书时，系统会逐级验证本域CA证书链上的所有CA证书的有效性，因此需要保证设备上存在该CA证书链上的所有上级CA证书所属的PKI域。验证某一级CA证书时，系统会根据该CA证书的签发者名（IssuerName）查找对应的上一级CA证书，以及上一级CA证书所属的（一个或多个）PKI域。若查找到了相应的PKI域，且该PKI域中开启了CRL检查，则根据该PKI域中的配置对待验证的CA证书进行吊销检查，否则不检查待验证的CA证书是否被吊销。检查CA证书链中的CA（根CA除外）是否被吊销后，从根CA逐级验证CA证书链的签发关系。

1.10.3 开启CRL检查的证书验证

(1) 进入系统视图。

system-view

(2) 进入PKI域视图。

pki domain domain-name

(3) （可选）配置CRL发布点的URL。

crl url url-string [ vpn-instance vpn-instance-name ]

缺省情况下，未指定CRL发布点的URL。

(4) 开启CRL检查。

crl check enable

缺省情况下，CRL检查处于开启状态。

(5) 退回系统视图。

quit

(6) 获取CA证书。

请参见“1.9 手工获取证书”。

在进行本地证书验证操作之前必须首先获取CA证书。

(7) （可选）获取CRL并下载至本地。

pki retrieve-crl domain domain-name

验证非根CA证书和本地证书时，如果PKI域中没有CRL，系统会自动获取CRL再进行验证；如果PKI域已经存在CRL，则可以继续获取CRL，获取到的新CRL会覆盖已有CRL。

获取到的CRL不一定是本域CA签发的，但肯定是本域CA证书链上的一个CA证书签发的。

(8) 验证证书的有效性。

pki validate-certificate domain domain-name { ca | local }

1.10.4 关闭CRL检查的证书验证

(1) 进入系统视图。

system-view

(2) 进入PKI域视图。

pki domain domain-name

(3) 关闭CRL检查。

undo crl check enable

缺省情况下，CRL检查处于开启状态。

(4) 退回系统视图。

quit

(5) 获取CA证书。

请参见“1.9 手工获取证书”。

在进行本地证书验证操作之前必须首先获取CA证书。

(6) 验证证书的有效性。

pki validate-certificate domain domain-name { ca | local }

此命令不会被保存在配置文件中。

1.11 导出证书

1. 功能简介

PKI域中已存在的CA证书、本地证书可以导出到文件中保存或导出到终端上显示，导出的证书可以用于证书备份或供其它设备使用。

2. 配置限制和指导

以PKCS12格式导出所有证书时，PKI域中必须有本地证书，否则会导出失败。

导出证书时若不指定文件名，则表示要将证书导出到终端上显示，这种方式仅PEM格式的证书才支持。

导出证书时若指定文件名，则表示证书将导出到指定文件中保存。导出RSA算法类型的本地证书时，设备上实际保存证书的证书文件名称并不一定是用户指定的名称，它与本地证书的密钥对用途相关，具体的命名规则请参见PKI命令手册。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 导出证书。

¡ 导出DER格式的证书。

pki export domain domain-name der { all | ca | local } filename filename

¡ 导出PKCS12格式的证书。

pki export domain domain-name p12 { all | local } passphrase p12-key filename filename

¡ 导出PEM格式的证书。

pki export domain domain-name pem { { all | local } [ { 3des-cbc | aes-128-cbc | aes-192-cbc | aes-256-cbc | des-cbc } pem-key ] | ca } [ filename filename ]

1.12 删除证书

1. 功能简介

由CA颁发的证书都会设置有效期，证书生命周期的长短由签发证书的CA来确定。当用户的私钥被泄漏或证书的有效期快到时，应该重新申请新的证书。以下情况需要删除证书：

· 证书过期时，可以通过此配置删除已经存在的本地证书、CA证书或对端证书。

· 用户的私钥被泄漏或希望重新申请证书时，可以通过此配置删除已经存在的本地证书。

2. 配置限制和指导

删除CA证书时将同时删除所在PKI域中的本地证书、所有对端证书以及CRL。

重新申请证书之前，应该先使用命令public-key local destroy删除旧的密钥对，再使用public-key local create生成新的密钥对。相关命令的详细介绍可参考“安全命令参考”中的“公钥管理”。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 删除证书。

pki delete-certificate domain domain-name { ca | local | peer [ serial serial-num ] }

如果未指定序列号，则删除所有对端证书。

1.13 开启本地证书到期提醒功能

1.13.1 功能简介

由于证书都会设置有效期，当需要检查PKI域下的本地证书是否到期时，可以开启本地证书到期提醒功能，每隔1小时，将会对证书做一次检查。在距离本地证书到期30天内（含30天）或证书已经到期时，系统会打印本地证书到期提醒日志，且每隔一天打印一次。

1.13.2 配置步骤

(1) 进入系统视图。

system-view

(2) 开启本地证书到期提醒功能。

pki certificate logging { local-will-expire | local-has-expired } enable

缺省情况下，本地证书到期提醒功能处于关闭状态。

1.14 开启PKI告警功能

1. 功能简介

开启了PKI的告警功能之后，PKI会生成告警信息，以向网管软件报告本模块的重要事件。该信息将发送至SNMP模块，通过设置SNMP中告警信息的发送参数，来决定告警信息输出的相关属性。有关告警信息的详细介绍，请参见“网络管理和监控配置指导”中的“SNMP”。

2. 配置限制和指导

如果希望生成并输出某种类型的PKI告警信息，则需要保证PKI的全局告警功能以及相应类型的告警功能均处于开启状态。如果希望取消生成指定类型的PKI告警信息，只需要保证相应类型的告警功能被关闭即可。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启PKI模块的告警功能。

缺省情况下，PKI模块的告警功能处于关闭状态。

1.15 PKI显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后PKI的运行情况，通过查看显示信息验证配置的效果。

表1-1 PKI显示和维护

操作	命令
显示证书内容	display pki certificate domain domain-name { ca \| local \| peer [ serial serial-num ] }
显示证书申请状态	display pki certificate request-status [ domain domain-name ]
显示存储在本地的CRL	display pki crl domain domain-name

1.16 PKI典型配置举例

· 当采用Windows Server作为CA时，需要安装SCEP插件。在这种情况下，配置PKI域时，需要使用certificate request from ra命令指定PKI实体从RA注册申请证书。

· 当采用RSA Keon软件时，不需要安装SCEP插件。在这种情况下，配置PKI域时，需要使用certificate request from ca命令指定PKI实体从CA注册申请证书。

· 当采用OpenCA软件时，需要启用SCEP功能，在这种情况下，配置PKI域时，需要使用certificate requeset from ra命令指定PKI实体从RA注册申请证书。

1.16.1 PKI实体向CA申请证书（采用RSA Keon CA服务器）

1. 组网需求

配置PKI实体Device向CA服务器申请本地证书。

2. 组网图

图1-3 PKI实体向CA申请证书组网图

3. 配置CA服务器

(1) 创建CA服务器myca

在本例中，CA服务器上首先需要进行基本属性Nickname和Subject DN的配置。其它属性选择缺省值。其中，Nickname为可信任的CA名称（本例中为myca），Subject DN为CA的DN属性，包括CN、OU、O和C。

(2) 配置扩展属性

基本属性配置完毕之后，还需要在生成的CA服务器管理页面上对“Jurisdiction Configuration”进行配置，主要内容包括：根据需要选择合适的扩展选项；启动自动颁发证书功能；添加可以自动颁发证书的地址范围。

以上配置完成之后，还需要保证设备的系统时钟与CA的时钟同步才可以正常使用设备来申请证书和获取CRL。

4. 配置Device

(1) 配置PKI实体

# 配置PKI实体名称为aaa，通用名为Device。

<Device> system-view

[Device] pki entity aaa

[Device-pki-entity-aaa] common-name Device

[Device-pki-entity-aaa] quit

(2) 配置PKI域

# 创建并进入PKI域torsa。

[Device] pki domain torsa

# 配置设备信任的CA的名称为myca。

[Device-pki-domain-torsa] ca identifier myca

# 配置注册受理机构服务器的URL，格式为http://host:port/Issuing Jurisdiction ID。其中的Issuing Jurisdiction ID为CA服务器上生成的16进制字符串。

[Device-pki-domain-torsa] certificate request url http://1.1.2.22:446/80f6214aa8865301d07929ae481c7ceed99f95bd

# 配置证书申请的注册受理机构为CA。

[Device-pki-domain-torsa] certificate request from ca

# 指定PKI实体名称为aaa。

[Device-pki-domain-torsa] certificate request entity aaa

# 配置CRL发布点位置。

[Device-pki-domain-torsa] crl url ldap://1.1.2.22:389/CN=myca

(3) # 指定证书申请使用的密钥对，用途为通用，名称为abc，密钥对长度为1024比特。

[Device-pki-domain-torsa] public-key rsa general name abc length 1024

[Device-pki-domain-torsa] quit

(4) 生成RSA算法的本地密钥对

[Device] public-key local create rsa name abc

The range of public key modulus is (512 ~ 4096).

If the key modulus is greater than 512,it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

..........................++++++

.....................................++++++

Create the key pair successfully.

(5) 证书申请

# 获取CA证书并下载至本地。

[Device] pki retrieve-certificate domain torsa ca

The trusted CA's finger print is:

MD5 fingerprint:EDE9 0394 A273 B61A F1B3 0072 A0B1 F9AB

SHA1 fingerprint: 77F9 A077 2FB8 088C 550B A33C 2410 D354 23B2 73A8

Is the finger print correct?(Y/N):y

Retrieved the certificates successfully.

# 手工申请本地证书。（采用RSA Keon CA服务器申请证书时，必须指定password参数）

[Device] pki request-certificate domain torsa password 1111

Start to request general certificate ...

……

Certificate requested successfully.

5. 验证配置

# 通过以下显示命令可以查看申请到的本地证书信息。

[Device] display pki certificate domain torsa local

Certificate:

Data:

Version: 3 (0x2)

Serial Number:

15:79:75:ec:d2:33:af:5e:46:35:83:bc:bd:6e:e3:b8

Signature Algorithm: sha1WithRSAEncryption

Issuer: CN=myca

Validity

Not Before: Jan 6 03:10:58 2013 GMT

Not After : Jan 6 03:10:58 2014 GMT

Subject: CN=Device

Subject Public Key Info:

Public Key Algorithm: rsaEncryption

Public-Key: (1024 bit)

Modulus:

00:ab:45:64:a8:6c:10:70:3b:b9:46:34:8d:eb:1a:

a1:b3:64:b2:37:27:37:9d:15:bd:1a:69:1d:22:0f:

3a:5a:64:0c:8f:93:e5:f0:70:67:dc:cd:c1:6f:7a:

0c:b1:57:48:55:81:35:d7:36:d5:3c:37:1f:ce:16:

7e:f8:18:30:f6:6b:00:d6:50:48:23:5c:8c:05:30:

6f:35:04:37:1a:95:56:96:21:95:85:53:6f:f2:5a:

dc:f8:ec:42:4a:6d:5c:c8:43:08:bb:f1:f7:46:d5:

f1:9c:22:be:f3:1b:37:73:44:f5:2d:2c:5e:8f:40:

3e:36:36:0d:c8:33:90:f3:9b

Exponent: 65537 (0x10001)

X509v3 extensions:

X509v3 CRL Distribution Points:

Full Name:

DirName: CN = myca

Signature Algorithm: sha1WithRSAEncryption

b0:9d:d9:ac:a0:9b:83:99:bf:9d:0a:ca:12:99:58:60:d8:aa:

73:54:61:4b:a2:4c:09:bb:9f:f9:70:c7:f8:81:82:f5:6c:af:

25:64:a5:99:d1:f6:ec:4f:22:e8:6a:96:58:6c:c9:47:46:8c:

f1:ba:89:b8:af:fa:63:c6:c9:77:10:45:0d:8f:a6:7f:b9:e8:

25:90:4a:8e:c6:cc:b8:1a:f8:e0:bc:17:e0:6a:11:ae:e7:36:

87:c4:b0:49:83:1c:79:ce:e2:a3:4b:15:40:dd:fe:e0:35:52:

ed:6d:83:31:2c:c2:de:7c:e0:a7:92:61:bc:03:ab:40:bd:69:

1b:f5

关于获取到的CA证书的详细信息可以通过相应的显示命令来查看，此处略。具体内容请参考命令display pki certificate domain。

1.16.2 PKI实体向CA申请证书（采用Windows 2003 server CA服务器）

1. 组网需求

配置PKI实体Device向CA服务器申请本地证书。

2. 组网图

图1-4 PKI实体向CA申请证书组网图

3. 配置CA服务器

(1) 安装证书服务器组件

打开[控制面板]/[添加/删除程序]，选择[添加/删除Windows组件]中的“证书服务”进行安装。安装过程中设置CA的名称，该名称为信任的CA的名称（本例中为myca）。

(2) 安装SCEP插件

由于Windows 2003 server作为CA服务器时，缺省情况下不支持SCEP，所以需要安装SCEP插件，才能使设备具备证书自动注册、获取等功能。插件安装完毕后，弹出提示框，提示框中的URL地址即为设备上配置的注册服务器地址。

(3) 修改证书服务的属性

完成上述配置后，打开[控制面板/管理工具]中的[证书颁发机构]，如果安装成功，在[颁发的证书]中将存在两个CA颁发给RA的证书。选择[CA server 属性]中的“策略模块”的属性为“如果可以的话，按照证书模板中的设置。否则，将自动颁发证书(F)。”

(4) 修改IIS服务的属性

打开[控制面板/管理工具]中的[Internet 信息服务(IIS)管理器]，将[默认网站属性]中“主目录”的本地路径修改为证书服务保存的路径。另外，为了避免与已有的服务冲突，建议修改默认网站的TCP端口号为未使用的端口号（本例中为8080）。

以上配置完成之后，还需要保证设备的系统时钟与CA的时钟同步才可以正常使用设备来申请证书。

4. 配置Device

(1) 配置PKI实体

# 配置PKI实体名称为aaa，通用名为test。

<Device> system-view

[Device] pki entity aaa

[Device-pki-entity-aaa] common-name test

[Device-pki-entity-aaa] quit

(2) 配置PKI域

# 创建并进入PKI域winserver。

[Device] pki domain winserver

# 配置设备信任的CA的名称为myca。

[Device-pki-domain-winserver] ca identifier myca

# 配置注册受理机构服务器的URL，格式为http://host:port/certsrv/mscep/mscep.dll。其中，host:port为CA服务器的主机地址和端口号。

[Device-pki-domain-winserver] certificate request url http://4.4.4.1:8080/certsrv/mscep/mscep.dll

# 配置证书申请的注册受理机构为RA。

[Device-pki-domain-winserver] certificate request from ra

# 指定PKI实体名称为aaa。

[Device-pki-domain-winserver] certificate request entity aaa

# 指定证书申请使用的密钥对，用途为通用，名称为abc，密钥长度为1024比特。

[Device-pki-domain-winserver] public-key rsa general name abc length 1024

[Device-pki-domain-winserver] quit

(3) 生成RSA算法的本地密钥对

[Device] public-key local create rsa name abc

The range of public key modulus is (512 ~ 4096).

If the key modulus is greater than 512,it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

..........................++++++

.....................................++++++

Create the key pair successfully.

(4) 证书申请

# 获取CA证书并下载至本地。

[Device] pki retrieve-certificate domain winserver ca

The trusted CA's finger print is:

MD5 fingerprint:766C D2C8 9E46 845B 4DCE 439C 1C1F 83AB

SHA1 fingerprint:97E5 DDED AB39 3141 75FB DB5C E7F8 D7D7 7C9B 97B4

Is the finger print correct?(Y/N):y

Retrieved the certificates successfully.

# 手工申请本地证书。

[Device] pki request-certificate domain winserver

Start to request general certificate ...

……

Certificate requested successfully.

5. 验证配置

# 通过以下显示命令可以查看申请到的本地证书信息。

[Device] display pki certificate domain winserver local

Certificate:

Data:

Version: 3 (0x2)

Serial Number:

(Negative)01:03:99:ff:ff:ff:ff:fd:11

Signature Algorithm: sha1WithRSAEncryption

Issuer: CN=sec

Validity

Not Before: Dec 24 07:09:42 2012 GMT

Not After : Dec 24 07:19:42 2013 GMT

Subject: CN=test

Subject Public Key Info:

Public Key Algorithm: rsaEncryption

Public-Key: (2048 bit)

Modulus:

00:c3:b5:23:a0:2d:46:0b:68:2f:71:d2:14:e1:5a:

55:6e:c5:5e:26:86:c1:5a:d6:24:68:02:bf:29:ac:

dc:31:41:3f:5d:5b:36:9e:53:dc:3a:bc:0d:11:fb:

d6:7d:4f:94:3c:c1:90:4a:50:ce:db:54:e0:b3:27:

a9:6a:8e:97:fb:20:c7:44:70:8f:f0:b9:ca:5b:94:

f0:56:a5:2b:87:ac:80:c5:cc:04:07:65:02:39:fc:

db:61:f7:07:c6:65:4c:e4:5c:57:30:35:b4:2e:ed:

9c:ca:0b:c1:5e:8d:2e:91:89:2f:11:e3:1e:12:8a:

f8:dd:f8:a7:2a:94:58:d9:c7:f8:1a:78:bd:f5:42:

51:3b:31:5d:ac:3e:c3:af:fa:33:2c:fc:c2:ed:b9:

ee:60:83:b3:d3:e5:8e:e5:02:cf:b0:c8:f0:3a:a4:

b7:ac:a0:2c:4d:47:5f:39:4b:2c:87:f2:ee:ea:d0:

c3:d0:8e:2c:80:83:6f:39:86:92:98:1f:d2:56:3b:

d7:94:d2:22:f4:df:e3:f8:d1:b8:92:27:9c:50:57:

f3:a1:18:8b:1c:41:ba:db:69:07:52:c1:9a:3d:b1:

2d:78:ab:e3:97:47:e2:70:14:30:88:af:f8:8e:cb:

68:f9:6f:07:6e:34:b6:38:6a:a2:a8:29:47:91:0e:

25:39

Exponent: 65537 (0x10001)

X509v3 extensions:

X509v3 Key Usage:

Digital Signature, Non Repudiation, Key Encipherment, Data Encip

herment

X509v3 Subject Key Identifier:

C9:BB:D5:8B:02:1D:20:5B:40:94:15:EC:9C:16:E8:9D:6D:FD:9F:34

X509v3 Authority Key Identifier:

keyid:32:F1:40:BA:9E:F1:09:81:BD:A8:49:66:FF:F8:AB:99:4A:30:21:9

X509v3 CRL Distribution Points:

Full Name:

URI:file://\\g07904c\CertEnroll\sec.crl

Authority Information Access:

CA Issuers - URI:http://gc/CertEnroll/gc_sec.crt

CA Issuers - URI:file://\\gc\CertEnroll\gc_sec.crt

1.3.6.1.4.1.311.20.2:

.0.I.P.S.E.C.I.n.t.e.r.m.e.d.i.a.t.e.O.f.f.l.i.n.e

Signature Algorithm: sha1WithRSAEncryption

76:f0:6c:2c:4d:bc:22:59:a7:39:88:0b:5c:50:2e:7a:5c:9d:

6c:28:3c:c0:32:07:5a:9c:4c:b6:31:32:62:a9:45:51:d5:f5:

36:8f:47:3d:47:ae:74:6c:54:92:f2:54:9f:1a:80:8a:3f:b2:

14:47:fa:dc:1e:4d:03:d5:d3:f5:9d:ad:9b:8d:03:7f:be:1e:

29:28:87:f7:ad:88:1c:8f:98:41:9a:db:59:ba:0a:eb:33:ec:

cf:aa:9b:fc:0f:69:3a:70:f2:fa:73:ab:c1:3e:4d:12:fb:99:

31:51:ab:c2:84:c0:2f:e5:f6:a7:c3:20:3c:9a:b0:ce:5a:bc:

0f:d9:34:56:bc:1e:6f:ee:11:3f:7c:b2:52:f9:45:77:52:fb:

46:8a:ca:b7:9d:02:0d:4e:c3:19:8f:81:46:4e:03:1f:58:03:

bf:53:c6:c4:85:95:fb:32:70:e6:1b:f3:e4:10:ed:7f:93:27:

90:6b:30:e7:81:36:bb:e2:ec:f2:dd:2b:bb:b9:03:1c:54:0a:

00:3f:14:88:de:b8:92:63:1e:f5:b3:c2:cf:0a:d5:f4:80:47:

6f:fa:7e:2d:e3:a7:38:46:f6:9e:c7:57:9d:7f:82:c7:46:06:

7d:7c:39:c4:94:41:bd:9e:5c:97:86:c8:48:de:35:1e:80:14:

02:09:ad:08

关于获取到的CA证书的详细信息可以通过相应的显示命令来查看，此处略。具体内容请参考命令display pki certificate domain。

1.16.3 PKI实体向CA申请证书（采用OpenCA服务器）

1. 组网需求

配置PKI实体Device向CA服务器申请本地证书。

2. 组网图

图1-5 PKI实体向CA申请证书组网图

3. 配置CA服务器

配置过程略，具体请参考Open CA服务器的相关手册。

需要注意的是：

· 使用OpenCA最新版本的rpm包进行安装，OpenCA有多个版本，但只有0.9.2以后的版本才支持SCEP，至少要安装0.9.2以后的版本。

· OpenCA服务器配置完成之后，还需要保证设备的系统时钟与CA的时钟同步才可以正常使用设备来申请证书。

4. 配置Device

(1) 配置PKI实体

# 配置PKI实体，名称为aaa、通用名为rnd、国家码为CN、组织名为test、组织部门名为software。

<Device> system-view

[Device] pki entity aaa

[Device-pki-entity-aaa] common-name rnd

[Device-pki-entity-aaa] country CN

[Device-pki-entity-aaa] organization test

[Device-pki-entity-aaa] organization-unit software

[Device-pki-entity-aaa] quit

(2) 配置PKI域

# 创建并进入PKI域openca。

[Device] pki domain openca

# 配置设备信任的CA的名称为myca。

[Device-pki-domain-openca] ca identifier myca

# 配置注册受理机构服务器的URL。通常，格式为http://host/cgi-bin/pki/scep。其中，host为OpenCA服务器的主机地址。

[Device-pki-domain-openca] certificate request url http://192.168.222.218/cgi-bin/pki/scep

# 配置证书申请的注册受理机构为RA。

[Device-pki-domain-openca] certificate request from ra

# 指定PKI实体名称为aaa。

[Device-pki-domain-openca] certificate request entity aaa

# 指定证书申请使用的RSA密钥对，用途为通用，名称为abc，密钥长度为1024比特。

[Device-pki-domain-openca] public-key rsa general name abc length 1024

[Device-pki-domain-openca] quit

(3) 生成RSA算法的本地密钥对

[Device] public-key local create rsa name abc

The range of public key modulus is (512 ~ 4096).

If the key modulus is greater than 512,it will take a few minutes.

Press CTRL+C to abort.

Input the modulus length [default = 1024]:

Generating Keys...

..........................++++++

.....................................++++++

Create the key pair successfully.

(4) 证书申请

# 获取CA证书并下载至本地。

[Device] pki retrieve-certificate domain openca ca

The trusted CA's finger print is:

MD5 fingerprint:5AA3 DEFD 7B23 2A25 16A3 14F4 C81C C0FA

SHA1 fingerprint:9668 4E63 D742 4B09 90E0 4C78 E213 F15F DC8E 9122

Is the finger print correct?(Y/N):y

Retrieved the certificates successfully.

# 手工申请本地证书。

[Device] pki request-certificate domain openca

Start to request general certificate ...

……

Certificate requested successfully.

5. 验证配置

# 通过以下显示命令可以查看申请到的本地证书信息。

[Device] display pki certificate domain openca local

Certificate:

Data:

Version: 3 (0x2)

Serial Number:

21:1d:b8:d2:e4:a9:21:28:e4:de

Signature Algorithm: sha256WithRSAEncryption

Issuer: C=CN, L=shangdi, ST=pukras, O=OpenCA Labs, OU=mysubUnit, CN=sub-ca, DC=pki-subdomain, DC=mydomain-sub, DC=com

Validity

Not Before: Jun 30 09:09:09 2011 GMT

Not After : May 1 09:09:09 2012 GMT

Subject: CN=rnd, O=test, OU=software, C=CN

Subject Public Key Info:

Public Key Algorithm: rsaEncryption

Public-Key: (1024 bit)

Modulus:

00:b8:7a:9a:b8:59:eb:fc:70:3e:bf:19:54:0c:7e:

c3:90:a5:d3:fd:ee:ff:c6:28:c6:32:fb:04:6e:9c:

d6:5a:4f:aa:bb:50:c4:10:5c:eb:97:1d:a7:9e:7d:

53:d5:31:ff:99:ab:b6:41:f7:6d:71:61:58:97:84:

37:98:c7:7c:79:02:ac:a6:85:f3:21:4d:3c:8e:63:

8d:f8:71:7d:28:a1:15:23:99:ed:f9:a1:c3:be:74:

0d:f7:64:cf:0a:dd:39:49:d7:3f:25:35:18:f4:1c:

59:46:2b:ec:0d:21:1d:00:05:8a:bf:ee:ac:61:03:

6c:1f:35:b5:b4:cd:86:9f:45

Exponent: 65537 (0x10001)

X509v3 extensions:

X509v3 Basic Constraints:

CA:FALSE

Netscape Cert Type:

SSL Client, S/MIME

X509v3 Key Usage:

Digital Signature, Non Repudiation, Key Encipherment

X509v3 Extended Key Usage:

TLS Web Client Authentication, E-mail Protection, Microsoft Smartcardlogin

Netscape Comment:

User Certificate of OpenCA Labs

X509v3 Subject Key Identifier:

24:71:C9:B8:AD:E1:FE:54:9A:EA:E9:14:1B:CD:D9:45:F4:B2:7A:1B

X509v3 Authority Key Identifier:

keyid:85:EB:D5:F7:C9:97:2F:4B:7A:6D:DD:1B:4D:DD:00:EE:53:CF:FD:5B

X509v3 Issuer Alternative Name:

DNS:root@docm.com, DNS:, IP Address:192.168.154.145, IP Address:192.168.154.138

Authority Information Access:

CA Issuers - URI:http://192.168.222.218/pki/pub/cacert/cacert.crt

OCSP - URI:http://192.168.222.218:2560/

1.3.6.1.5.5.7.48.12 - URI:http://192.168.222.218:830/

X509v3 CRL Distribution Points:

Full Name:

URI:http://192.168.222.218/pki/pub/crl/cacrl.crl

Signature Algorithm: sha256WithRSAEncryption

5c:4c:ba:d0:a1:35:79:e6:e5:98:69:91:f6:66:2a:4f:7f:8b:

0e:80:de:79:45:b9:d9:12:5e:13:28:17:36:42:d5:ae:fc:4e:

ba:b9:61:f1:0a:76:42:e7:a6:34:43:3e:2d:02:5e:c7:32:f7:

6b:64:bb:2d:f5:10:6c:68:4d:e7:69:f7:47:25:f5:dc:97:af:

ae:33:40:44:f3:ab:e4:5a:a0:06:8f:af:22:a9:05:74:43:b6:

e4:96:a5:d4:52:32:c2:a8:53:37:58:c7:2f:75:cf:3e:8e:ed:

46:c9:5a:24:b1:f5:51:1d:0f:5a:07:e6:15:7a:02:31:05:8c:

03:72:52:7c:ff:28:37:1e:7e:14:97:80:0b:4e:b9:51:2d:50:

98:f2:e4:5a:60:be:25:06:f6:ea:7c:aa:df:7b:8d:59:79:57:

8f:d4:3e:4f:51:c1:34:e6:c1:1e:71:b5:0d:85:86:a5:ed:63:

1e:08:7f:d2:50:ac:a0:a3:9e:88:48:10:0b:4a:7d:ed:c1:03:

9f:87:97:a3:5e:7d:75:1d:ac:7b:6f:bb:43:4d:12:17:9a:76:

b0:bf:2f:6a:cc:4b:cd:3d:a1:dd:e0:dc:5a:f3:7c:fb:c3:29:

b0:12:49:5c:12:4c:51:6e:62:43:8b:73:b9:26:2a:f9:3d:a4:

81:99:31:89

关于获取到的CA证书的详细信息可以通过相应的显示命令来查看，此处略。具体内容请参考命令display pki certificate domain。

1.16.4 导出、导入证书应用举例

1. 组网需求

某网络中的Device A将要被Device B替换，Device A上的PKI域exportdomain中保存了两个携带私钥的本地证书和一个CA证书。为保证替换后的证书可用，需要将原来Device A上的证书复制到Device B上去。具体要求如下：

· 从Device A上导出本地证书时，将对应的私钥数据采用3DES_CBC算法进行加密，加密口令为111111。

· 来自Device A的证书以PEM编码的格式保存于Device B上的PKI域importdomain中。

2. 组网图

图1-6 导出、导入证书应用组网图

3. 配置步骤

(1) 从Device A上导出本地证书到指定文件

# 将PKI域中的CA证书导出到PEM格式的文件中，文件名为pkicachain.pem。

<DeviceA> system-view

[DeviceA] pki export domain exportdomain pem ca filename pkicachain.pem

# 将PKI域中的本地证书导出到PEM格式的文件中，文件名为pkilocal.pem。导出时对本地证书对应的私钥数据采用3DES_CBC算法进行加密，加密口令为111111。

[DeviceA] pki export domain exportdomain pem local 3des-cbc 111111 filename pkilocal.pem

以上过程完成后，系统中将会生成三个PEM格式的证书文件，它们分别是：CA证书文件pkicachain.pem，带有私钥的本地签名证书文件pkilocal.pem-signature和带有私钥的本地加密证书文件pkilocal.pem-encryption。

# 查看PEM格式的带有私钥的本地签名证书文件pkilocal.pem-signature。

[DeviceA] quit

<DeviceA> more pkilocal.pem-signature

Bag Attributes

friendlyName:

localKeyID: 90 C6 DC 1D 20 49 4F 24 70 F5 17 17 20 2B 9E AC 20 F3 99 89

subject=/C=CN/O=OpenCA Labs/OU=Users/CN=subsign 11

issuer=/C=CN/L=shangdi/ST=pukras/O=OpenCA Labs/OU=docm/CN=subca1

-----BEGIN CERTIFICATE-----

MIIEgjCCA2qgAwIBAgILAJgsebpejZc5UwAwDQYJKoZIhvcNAQELBQAwZjELMAkG

…… (略)

-----END CERTIFICATE-----

Bag Attributes

friendlyName:

localKeyID: 90 C6 DC 1D 20 49 4F 24 70 F5 17 17 20 2B 9E AC 20 F3 99 89

Key Attributes: <No Attributes>

-----BEGIN ENCRYPTED PRIVATE KEY-----

MIICxjBABgkqhkiG9w0BBQ0wMzAbBgkqhkiG9w0BBQwwDgQIZtjSjfslJCoCAggA

…… (略)

-----END ENCRYPTED PRIVATE KEY-----

# 查看PEM格式的带有私钥的本地加密证书文件pkilocal.pem-encryption。

<DeviceA> more pkilocal.pem-encryption

Bag Attributes

friendlyName:

localKeyID: D5 DF 29 28 C8 B9 D9 49 6C B5 44 4B C2 BC 66 75 FE D6 6C C8

subject=/C=CN/O=OpenCA Labs/OU=Users/CN=subencr 11

issuer=/C=CN/L=shangdi/ST=pukras/O=OpenCA Labs/OU=docm/CN=subca1

-----BEGIN CERTIFICATE-----

MIIEUDCCAzigAwIBAgIKCHxnAVyzWhIPLzANBgkqhkiG9w0BAQsFADBmMQswCQYD

…… (略)

-----END CERTIFICATE-----

Bag Attributes

friendlyName:

localKeyID: D5 DF 29 28 C8 B9 D9 49 6C B5 44 4B C2 BC 66 75 FE D6 6C C8

Key Attributes: <No Attributes>

-----BEGIN ENCRYPTED PRIVATE KEY-----

MIICxjBABgkqhkiG9w0BBQ0wMzAbBgkqhkiG9w0BBQwwDgQI7H0mb4O7/GACAggA

…… (略)

-----END ENCRYPTED PRIVATE KEY-----

(2) 将Device A的证书文件下载到Host

通过FTP将证书文件pkicachain.pem、pkilocal.pem-signature和pkilocal.pem-encryption下载到Host上，具体过程略。

(3) 将Host上的证书文件上传到Device B

通过FTP将证书文件pkicachain.pem、pkilocal.pem-signature、pkilocal.pem-encryption上传到Device B的文件系统中，具体过程略。

(4) 在设备Device B上导入证书文件

# 关闭CRL检查。（是否进行CRL检查，请以实际的使用需求为准，此处仅为示例）

<DeviceB> system-view

[DeviceB] pki domain importdomain

[DeviceB-pki-domain-importdomain] undo crl check enable

# 指定证书申请使用的签名RSA密钥对名称为sign，加密RSA密钥对名称为encr。

[DeviceB-pki-domain-importdomain] public-key rsa signature name sign encryption name encr

[DeviceB-pki-domain-importdomain] quit

# 向PKI域中导入CA证书，证书文件格式为PEM编码，证书文件名称为pkicachain.pem。

[DeviceB] pki import domain importdomain pem ca filename pkicachain.pem

# 向PKI域中导入本地证书，证书文件格式为PEM编码，证书文件名称为pkilocal.pem-signature，证书文件中包含了密钥对。

[DeviceB] pki import domain importdomain pem local filename pkilocal.pem-signature

Please input the password:

# 向PKI域中导入本地证书，证书文件格式为PEM编码，证书文件名称为pkilocal.pem-encryption，证书文件中包含了密钥对。

[DeviceB] pki import domain importdomain pem local filename pkilocal.pem-encryption

Please input the password:

# 通过以下显示命令可以查看导入到Device B的本地证书信息。

[DeviceB] display pki certificate domain importdomain local

Certificate:

Data:

Version: 3 (0x2)

Serial Number:

98:2c:79:ba:5e:8d:97:39:53:00

Signature Algorithm: sha256WithRSAEncryption

Issuer: C=CN, L=shangdi, ST=pukras, O=OpenCA Labs, OU=docm, CN=subca1

Validity

Not Before: May 26 05:56:49 2011 GMT

Not After : Nov 22 05:56:49 2012 GMT

Subject: C=CN, O=OpenCA Labs, OU=Users, CN=subsign 11

Subject Public Key Info:

Public Key Algorithm: rsaEncryption

Public-Key: (1024 bit)

Modulus:

00:9f:6e:2f:f6:cb:3d:08:19:9a:4a:ac:b4:ac:63:

ce:8d:6a:4c:3a:30:19:3c:14:ff:a9:50:04:f5:00:

ee:a3:aa:03:cb:b3:49:c4:f8:ae:55:ee:43:93:69:

6c:bf:0d:8c:f4:4e:ca:69:e5:3f:37:5c:83:ea:83:

ad:16:b8:99:37:cb:86:10:6b:a0:4d:03:95:06:42:

ef:ef:0d:4e:53:08:0a:c9:29:dd:94:28:02:6e:e2:

9b:87:c1:38:2d:a4:90:a2:13:5f:a4:e3:24:d3:2c:

bf:98:db:a7:c2:36:e2:86:90:55:c7:8c:c5:ea:12:

01:31:69:bf:e3:91:71:ec:21

Exponent: 65537 (0x10001)

X509v3 extensions:

X509v3 Basic Constraints:

CA:FALSE

Netscape Cert Type:

SSL Client, S/MIME

X509v3 Key Usage:

Digital Signature, Non Repudiation

X509v3 Extended Key Usage:

TLS Web Client Authentication, E-mail Protection, Microsoft Smartcardlogin

Netscape Comment:

User Certificate of OpenCA Labs

X509v3 Subject Key Identifier:

AA:45:54:29:5A:50:2B:89:AB:06:E5:BD:0D:07:8C:D9:79:35:B1:F5

X509v3 Authority Key Identifier:

keyid:70:54:40:61:71:31:02:06:8C:62:11:0A:CC:A5:DB:0E:7E:74:DE:DD

X509v3 Subject Alternative Name:

email:subsign@docm.com

X509v3 Issuer Alternative Name:

DNS:subca1@docm.com, DNS:, IP Address:1.1.2.2, IP Address:2.2.1.1

Authority Information Access:

CA Issuers - URI:http://titan/pki/pub/cacert/cacert.crt

OCSP - URI:http://titan:2560/

1.3.6.1.5.5.7.48.12 - URI:http://titan:830/

X509v3 CRL Distribution Points:

Full Name:

URI:http://192.168.40.130/pki/pub/crl/cacrl.crl

Signature Algorithm: sha256WithRSAEncryption

18:e7:39:9a:ad:84:64:7b:a3:85:62:49:e5:c9:12:56:a6:d2:

46:91:53:8e:84:ba:4a:0a:6f:28:b9:43:bc:e7:b0:ca:9e:d4:

1f:d2:6f:48:c4:b9:ba:c5:69:4d:90:f3:15:c4:4e:4b:1e:ef:

2b:1b:2d:cb:47:1e:60:a9:0f:81:dc:f2:65:6b:5f:7a:e2:36:

29:5d:d4:52:32:ef:87:50:7c:9f:30:4a:83:de:98:8b:6a:c9:

3e:9d:54:ee:61:a4:26:f3:9a:40:8f:a6:6b:2b:06:53:df:b6:

5f:67:5e:34:c8:c3:b5:9b:30:ee:01:b5:a9:51:f9:b1:29:37:

02:1a:05:02:e7:cc:1c:fe:73:d3:3e:fa:7e:91:63:da:1d:f1:

db:28:6b:6c:94:84:ad:fc:63:1b:ba:53:af:b3:5d:eb:08:b3:

5b:d7:22:3a:86:c3:97:ef:ac:25:eb:4a:60:f8:2b:a3:3b:da:

5d:6f:a5:cf:cb:5a:0b:c5:2b:45:b7:3e:6e:39:e9:d9:66:6d:

ef:d3:a0:f6:2a:2d:86:a3:01:c4:94:09:c0:99:ce:22:19:84:

2b:f0:db:3e:1e:18:fb:df:56:cb:6f:a2:56:35:0d:39:94:34:

6d:19:1d:46:d7:bf:1a:86:22:78:87:3e:67:fe:4b:ed:37:3d:

d6:0a:1c:0b

Certificate:

Data:

Version: 3 (0x2)

Serial Number:

08:7c:67:01:5c:b3:5a:12:0f:2f

Signature Algorithm: sha256WithRSAEncryption

Issuer: C=CN, L=shangdi, ST=pukras, O=OpenCA Labs, OU=docm, CN=subca1

Validity

Not Before: May 26 05:58:26 2011 GMT

Not After : Nov 22 05:58:26 2012 GMT

Subject: C=CN, O=OpenCA Labs, OU=Users, CN=subencr 11

Subject Public Key Info:

Public Key Algorithm: rsaEncryption

Public-Key: (1024 bit)

Modulus:

00:db:26:13:d3:d1:a4:af:11:f3:6d:37:cf:d0:d4:

48:50:4e:0f:7d:54:76:ed:50:28:c6:71:d4:48:ae:

4d:e7:3d:23:78:70:63:18:33:f6:94:98:aa:fa:f6:

62:ed:8a:50:c6:fd:2e:f4:20:0c:14:f7:54:88:36:

2f:e6:e2:88:3f:c2:88:1d:bf:8d:9f:45:6c:5a:f5:

94:71:f3:10:e9:ec:81:00:28:60:a9:02:bb:35:8b:

bf:85:75:6f:24:ab:26:de:47:6c:ba:1d:ee:0d:35:

75:58:10:e5:e8:55:d1:43:ae:85:f8:ff:75:81:03:

8c:2e:00:d1:e9:a4:5b:18:39

Exponent: 65537 (0x10001)

X509v3 extensions:

X509v3 Basic Constraints:

CA:FALSE

Netscape Cert Type:

SSL Server

X509v3 Key Usage:

Key Encipherment, Data Encipherment

Netscape Comment:

VPN Server of OpenCA Labs

X509v3 Subject Key Identifier:

CC:96:03:2F:FC:74:74:45:61:38:1F:48:C0:E8:AA:18:24:F0:2B:AB

X509v3 Authority Key Identifier:

keyid:70:54:40:61:71:31:02:06:8C:62:11:0A:CC:A5:DB:0E:7E:74:DE:DD

X509v3 Subject Alternative Name:

email:subencr@docm.com

X509v3 Issuer Alternative Name:

DNS:subca1@docm.com, DNS:, IP Address:1.1.2.2, IP Address:2.2.1.1

Authority Information Access:

CA Issuers - URI:http://titan/pki/pub/cacert/cacert.crt

OCSP - URI:http://titan:2560/

1.3.6.1.5.5.7.48.12 - URI:http://titan:830/

X509v3 CRL Distribution Points:

Full Name:

URI:http://192.168.40.130/pki/pub/crl/cacrl.crl

Signature Algorithm: sha256WithRSAEncryption

53:69:66:5f:93:f0:2f:8c:54:24:8f:a2:f2:f1:29:fa:15:16:

90:71:e2:98:e3:5c:c6:e3:d4:5f:7a:f6:a9:4f:a2:7f:ca:af:

c4:c8:c7:2c:c0:51:0a:45:d4:56:e2:81:30:41:be:9f:67:a1:

23:a6:09:50:99:a1:40:5f:44:6f:be:ff:00:67:9d:64:98:fb:

72:77:9e:fd:f2:4c:3a:b2:43:d8:50:5c:48:08:e7:77:df:fb:

25:9f:4a:ea:de:37:1e:fb:bc:42:12:0a:98:11:f2:d9:5b:60:

bc:59:72:04:48:59:cc:50:39:a5:40:12:ff:9d:d0:69:3a:5e:

3a:09:5a:79:e0:54:67:a0:32:df:bf:72:a0:74:63:f9:05:6f:

5e:28:d2:e8:65:49:e6:c7:b5:48:7d:95:47:46:c1:61:5a:29:

90:65:45:4a:88:96:e4:88:bd:59:25:44:3f:61:c6:b1:08:5b:

86:d2:4f:61:4c:20:38:1c:f4:a1:0b:ea:65:87:7d:1c:22:be:

b6:17:17:8a:5a:0f:35:4c:b8:b3:73:03:03:63:b1:fc:c4:f5:

e9:6e:7c:11:e8:17:5a:fb:39:e7:33:93:5b:2b:54:72:57:72:

5e:78:d6:97:ef:b8:d8:6d:0c:05:28:ea:81:3a:06:a0:2e:c3:

79:05:cd:c3

关于导入的CA证书的详细信息可以通过相应的显示命令来查看，此处略。具体内容请参考命令display pki certificate domain。

1.17 常见配置错误举例

1.17.1 获取CA证书失败

1. 故障现象

获取CA证书失败。

2. 故障分析

可能有以下原因：

· 网络连接故障，如网线折断，接口松动；

· 没有设置信任的CA名称；

· 证书申请的注册受理机构服务器URL位置不正确或未配置；

· 设备的系统时钟与CA的时钟不同步；

· 未指定CA服务器可接受的PKI协议报文的源IP地址，或者指定的地址不正确；

· 指纹信息不合法。

3. 处理过程

· 排除物理连接故障；

· 查看各必配项是否都正确配置；

· 可通过ping命令测试注册服务器是否连接正常；

· 保持系统时钟与CA同步；

· 与CA服务器管理员联系，并保证配置正确的源IP地址；

· 在证书服务器上查看指纹信息是否合法。

1.17.2 获取本地证书失败

1. 故障现象

获取本地证书失败。

2. 故障分析

可能有以下原因：

· 网络连接故障；

· 执行获取操作之前PKI域中没有CA证书；

· 没有配置LDAP服务器或者配置错误；

· PKI域没有指定申请使用的密钥对，或者指定的密钥对与待获取的本地证书不匹配；

· PKI域中没有引用PKI实体配置，或PKI实体配置不正确；

· 开启了CRL检查，但是本地没有CRL且无法获取到CRL；

· 未指定CA服务器可接受的PKI协议报文的源IP地址，或者指定的地址不正确；

· 设备时钟与CA服务器的时钟不同步。

3. 处理过程

· 排除物理连接故障；

· 获取或者导入CA证书；

· 配置正确的LDAP服务器；

· 在PKI域中指定申请使用的密钥对，生成指定的密钥对，并使其与待获取的本地证书匹配；

· PKI域中引用正确的PKI实体，并正确配置该PKI实体；

· 获取CRL；

· 与CA服务器管理员联系，并保证配置正确的源IP地址；

· 保持系统时钟与CA一致。

1.17.3 本地证书申请失败

1. 故障现象

手工申请证书失败。

2. 故障分析

可能有以下原因：

· 网络连接故障，如网线折断，接口松动；

· 执行申请操作之前PKI域中没有CA证书；

· 证书申请的注册受理机构服务器URL位置不正确或未配置；

· 没有配置证书申请注册受理机构或配置不正确；

· 没有配置PKI实体DN中必配参数或者配置参数不正确；

· PKI域中没有指定证书申请使用的密钥对，或者PKI中指定的密钥对在申请过程中已被修改；

· 当前PKI域中有互斥的证书申请程序正在运行；

· 未指定CA服务器可接受的PKI协议报文的源IP地址，或者指定的地址不正确；

· 设备时钟与CA服务器的时钟不同步。

3. 处理过程

· 排除物理连接故障；

· 获取或者导入CA证书；

· 可通过ping命令测试注册服务器是否连接正常；

· 配置正确的证书申请注册受理机构服务器URL；

· 查看CA/RA注册策略，并对相关的PKI实体DN属性进行正确配置；

· 在PKI域中指定证书申请使用的密钥对，或者删除设备上PKI域中指定的密钥对并重新申请本地证书；

· 使用pki abort-certificate- request domain命令停止正在运行的证书申请程序；

· 与CA服务器管理员联系，并保证配置正确的源IP地址；

· 保持系统时钟与CA一致。

1.17.4 CRL获取失败

1. 故障现象

获取CRL失败。

2. 故障分析

可能有以下原因：

· 网络连接故障，如网线折断，接口松动；

· 获取CRL之前未先取得CA证书；

· 未设置CRL发布点位置，且不能从PKI域中CA证书或本地证书中获得正确的发布点；

· 设置的CRL发布点位置不正确；

· 不能获取CRL发布点的情况下，通过SCEP协议获取CRL，但此时PKI域中不存在本地证书，或本地证书的密钥对已被修改，或PKI域中没有配置正确的证书申请URL；

· CRL发布点的URL配置中包含不完整的地址（没有主机名或主机地址）且PKI域中没有配置LDAP服务器或者配置不正确；

· CA没有签发CRL；

· 未指定CA服务器可接受的PKI协议报文的源IP地址，或者指定的地址不正确。

3. 处理过程

· 排除物理连接故障；

· 获取或导入CA证书；

· 设置正确CRL发布点位置：配置包含完整地址的CRL发布点的URL或在PKI域中配置正确的LDAP服务器；

· 在无法获取CRL发布点的情况下，配置正确的证书申请URL，并保证已经获取了本地证书，且本地保存的密钥对的公钥与本地证书的公钥匹配；

· 在CA上发布CRL；

· 与CA服务器管理员联系，并保证配置正确的源IP地址。

1.17.5 导入CA证书失败

1. 故障现象

导入证书失败。

2. 故障分析

可能有以下原因：

· 开启了CRL检查，但是本地没有CRL且无法获取到CRL；

· 指定的导入格式与实际导入的文件格式不一致。

3. 处理过程

· 执行undo crl check enable命令，关闭CRL检查；

· 请确认导入的文件格式并选择正确的导入格式。

1.17.6 导入本地证书失败

1. 故障现象

导入证书失败。

2. 故障分析

可能有以下原因：

· PKI域中没有CA证书且导入的本地证书中不含CA证书链；

· 开启了CRL检查，但是本地没有CRL且无法获取到CRL；

· 指定的导入格式与实际导入的文件格式不一致；

· 设备上和证书中都没有该本地证书对应的密钥对；

· 证书已经被吊销；

· 证书不在有效期；

· 系统时钟设置错误。

3. 处理过程

· 获取或者导入CA证书；

· 执行undo crl check enable命令，关闭CRL检查，或者先获取CRL；

· 请确认导入的文件格式并选择正确的导入格式；

· 请导入包含私钥内容的证书文件；

· 导入未被吊销的证书；

· 导入还在有效期内的证书；

· 请重新设置正确的系统时钟。

1.17.7 导出证书失败

1. 故障现象

导出证书失败。

2. 故障分析

可能有以下原因：

· 以PKCS#12格式导出所有证书时PKI域中没有本地证书；

· 用户所设置的导出路径不存在；

· 用户所设置的导出路径不合法；

· 要导出的本地证书的公钥和它所属PKI域中的密钥对的公钥部分不匹配；

· 设备磁盘空间已满。

3. 处理过程

· 获取或申请本地证书；

· 用mkdir命令创建用户所需路径；

· 设置正确的导出路径；

· 在PKI域中配置匹配的密钥对；

· 清理设备磁盘空间。

1.17.8 设置存储路径失败

1. 故障现象

设置证书或CRL存储路径失败。

2. 故障分析

可能有以下原因：

· 用户所设置的证书或CRL存储路径不存在；

· 用户所设置的证书或CRL存储路径不合法；

· 设备磁盘空间已满。

3. 处理过程

· 用mkdir命令创建用户所需路径；

· 设置正确的证书或CRL存储路径；

· 清理设备磁盘空间。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

技术支持

自助服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

09-安全配置指导

目录

11-PKI配置

1.1 PKI简介

1.1.1 相关术语

1. 数字证书

2. CA根证书的指纹

3. CRL（Certificate Revocation List，证书吊销列表）

4. CA策略

1.1.2 体系结构

1. 终端PKI实体

2. CA（Certificate Authority，证书颁发机构）

3. RA（Registration Authority，证书注册机构）

4. 证书/CRL发布点

1.1.3 数字证书的申请、使用和维护

1. VPN（Virtual Private Network，虚拟专用网络）

2. 安全电子邮件

3. Web安全

1.1.5 证书申请支持MPLS L3VPN

1.2 FIPS相关说明

1.3 PKI配置任务简介

1.4 配置PKI实体

1. PKI实体简介

3. 配置步骤

1.5 配置PKI域

1.5.2 PKI域配置任务简介

1.5.3 创建PKI域

1.5.4 配置设备信任的CA名称

1. 功能简介

2. 配置步骤

1.5.5 指定用户申请证书的PKI实体名称

1.5.9 指定LDAP服务器

1.5.10 配置验证CA根证书时使用的指纹

1. 配置限制和指导

2. 配置步骤

1. 功能简介

2. 配置步骤

1.5.13 指定PKI操作产生的协议报文使用的源IP地址

1. 功能简介