F5認證配置

標籤：f5   認證   sni   

幾種格式檔案的說明：

csr——>在F5上產生的檔案。包含了網域名稱、公司名、部門名、城市、郵箱等資訊。

crt/cer——>公開金鑰，認證檔案，由權威認證機構頒發。

key——>私密金鑰，與csr配套產生，成對使用。

例：

1_root_bundle.crt——>憑證鏈結（包含認證的樹型結構，追溯至根憑證機構）

2_test_wosign.com.crt——>公開金鑰（認證機構使用私密金鑰對你的csr進行簽名）

3_test_wosign.com.key——>私密金鑰（與公開金鑰配套使用）

SNI功能簡單介紹：

SNI功能使一個ip地址能夠對應多個網域名稱，並綁定不同的認證。需要F5的版本在v11.1.0才能支援。

650) this.width=650;" src="http://s5.51cto.com/wyfs02/M02/89/51/wKiom1gPUiGyaUyXAAAj8DUqdy4962.png-wh_500x0-wm_3-wmp_4-s_1961495466.png" title="F5-認證016.png" alt="wKiom1gPUiGyaUyXAAAj8DUqdy4962.png-wh_50" />

說明：

裝置型號F5-1600  系統版本10.2.4

一、建立csr檔案、備份認證、私密金鑰

建立csr檔案：

650) this.width=650;" src="http://s4.51cto.com/wyfs02/M02/89/4F/wKioL1gPUkShUvD4AAEfWKhYd7s745.png-wh_500x0-wm_3-wmp_4-s_3022039600.png" title="F5-認證001.png" alt="wKioL1gPUkShUvD4AAEfWKhYd7s745.png-wh_50" />

選擇是否自簽發：

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M00/89/51/wKiom1gPUnbw8AjRAAAVw78sE9M955.png-wh_500x0-wm_3-wmp_4-s_3959904310.png" title="F5-認證002.png" alt="wKiom1gPUnbw8AjRAAAVw78sE9M955.png-wh_50" />

備份認證和私密金鑰：

650) this.width=650;" src="http://s2.51cto.com/wyfs02/M02/89/4F/wKioL1gPUoegsGTBAADrsChLA4c603.png-wh_500x0-wm_3-wmp_4-s_1432132329.png" title="F5-認證003.png" alt="wKioL1gPUoegsGTBAADrsChLA4c603.png-wh_50" />

650) this.width=650;" src="http://s4.51cto.com/wyfs02/M00/89/51/wKiom1gPUtnAemBWAADcY6XOlw0993.png-wh_500x0-wm_3-wmp_4-s_1032912584.png" title="F5-認證004.png" alt="wKiom1gPUtnAemBWAADcY6XOlw0993.png-wh_50" />

650) this.width=650;" src="http://s4.51cto.com/wyfs02/M00/89/4F/wKioL1gPUtmh8ZbBAACrJZiQ6Tc564.png-wh_500x0-wm_3-wmp_4-s_4228167869.png" title="F5-認證005.png" alt="wKioL1gPUtmh8ZbBAACrJZiQ6Tc564.png-wh_50" />

650) this.width=650;" src="http://s4.51cto.com/wyfs02/M00/89/4F/wKioL1gPUtmyXndhAADy-ux9wJY485.png-wh_500x0-wm_3-wmp_4-s_3127301847.png" title="F5-認證006.png" alt="wKioL1gPUtmyXndhAADy-ux9wJY485.png-wh_50" />

二、安裝認證

將認證機構頒發的認證內容（包括“----BEGIN CERTIFICATE-----"和-----END CERTIFICATE-----"）粘貼到記事本中，儲存為server.cer檔案。

安裝認證檔案：

650) this.width=650;" src="http://s4.51cto.com/wyfs02/M01/89/51/wKiom1gPUyqRy92iAACrAHT64KU322.png-wh_500x0-wm_3-wmp_4-s_336651536.png" title="F5-認證007.png" alt="wKiom1gPUyqRy92iAACrAHT64KU322.png-wh_50" />

匯入成功後的狀態：

650) this.width=650;" src="http://s5.51cto.com/wyfs02/M01/89/51/wKiom1gPU0KBIGtQAADto1JvJFQ191.png-wh_500x0-wm_3-wmp_4-s_249147353.png" title="F5-認證008.png" alt="wKiom1gPU0KBIGtQAADto1JvJFQ191.png-wh_50" />

添加憑證鏈結：

將認證簽發郵件中從BEGIIN到END結束的所有認證內容粘貼到記事本中，中間使用斷行符號換行分隔。修改副檔名為ca-bundle.cer檔案

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M01/89/4F/wKioL1gPU3CwK1MsAADrihMmtEk167.png-wh_500x0-wm_3-wmp_4-s_197777709.png" title="F5-認證009.png" alt="wKioL1gPU3CwK1MsAADrihMmtEk167.png-wh_50" />

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M01/89/4F/wKioL1gPU3Dgw0cDAADWma-LABA378.png-wh_500x0-wm_3-wmp_4-s_1289704944.png" title="F5-認證010.png" alt="wKioL1gPU3Dgw0cDAADWma-LABA378.png-wh_50" />

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M02/89/51/wKiom1gPU3CTFdTZAAB6yegjXCM197.png-wh_500x0-wm_3-wmp_4-s_1484738969.png" title="F5-認證011.png" alt="wKiom1gPU3CTFdTZAAB6yegjXCM197.png-wh_50" />

三、配置profile關聯認證

伺服器憑證有2種，一種是F5與用戶端的認證SSL-Client

一種是F5與後台伺服器的認證SSL-Server

F5到用戶端一般認為不安全所以使用認證。F5到後端伺服器一般認為是安全的， 一般不用認證。

650) this.width=650;" src="http://s4.51cto.com/wyfs02/M02/89/4F/wKioL1gPU6Gi11tVAADkaCYV9Tc218.png-wh_500x0-wm_3-wmp_4-s_2714006682.png" title="F5-認證-012.png" alt="wKioL1gPU6Gi11tVAADkaCYV9Tc218.png-wh_50" />

650) this.width=650;" src="http://s1.51cto.com/wyfs02/M00/89/4F/wKioL1gPU6HTnjwYAADtgdzJ3Mo099.png-wh_500x0-wm_3-wmp_4-s_1341277854.png" title="F5-認證-013.png" alt="wKioL1gPU6HTnjwYAADtgdzJ3Mo099.png-wh_50" />

Parent Profile：信任相同的根憑證。多網域名稱對應一個ip需要F5系統版本在11.0

完成後，選擇Update儲存。在認證成功配置後，需要建立一個443連接埠的Virtual Server，並載入上面的Client SSL Profile對應該網站啟用SSL認證。

四、雙向認證的配置

雙向認證部分，要求用戶端出示用戶端的個人認證才能登陸指定頁面。如果沒有對用戶端做強制身份認證，則無需配置雙向認證部分。

在雙向認證時需要配置以下內容：

Trusted Certificate Authorities:用戶端認證的根憑證

Client Certificate:這裡有兩種模式可以選擇

Require:用戶端必須提交認證，通常採用此方法

Request:用戶端可以提交認證，也可以不提交認證

Advertised Certificate Authorities:在用戶端串連時，伺服器發送到用戶端的資訊，該資訊會使在用戶端彈出的認證挑選清單中只包含選中的根憑證所頒發的用戶端認證。如果有中間認證請選擇憑證鏈結。

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M01/89/51/wKiom1gPU7zQx_P8AADnOkKZNIU263.png-wh_500x0-wm_3-wmp_4-s_2238584836.png" title="F5-認證014.png" alt="wKiom1gPU7zQx_P8AADnOkKZNIU263.png-wh_50" />

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M02/89/51/wKiom1gPU7zyz3UnAABLV-Yto0g179.png-wh_500x0-wm_3-wmp_4-s_808651001.png" title="F5-認證015.png" alt="wKiom1gPU7zyz3UnAABLV-Yto0g179.png-wh_50" />

完成認證的匯入和profile的設定後，還需要在Virtual Server下設定Properties，將虛服務地址和剛才產生的Profile捆綁一下，點擊Update即可完成認證配置。

相互間的邏輯關係是：認證綁定到profile檔案中，虛服務調用profile檔案。

附F5官網相關文檔連結：

https://devcentral.f5.com/articles/ssl-profiles-part-7-server-name-indication

本文出自 “it技術貼” 部落格，請務必保留此出處http://jiangyuchen.blog.51cto.com/9221625/1865598

F5認證配置