HTTPS Web配置舉例

標籤：des   style   class   code   http   ext   

http://www.h3c.com.cn/Products___Technology/Technology/Security_Encrypt/Other_technology/Representative_collocate_enchiridion/201010/697325_30003_0.htm

 

HTTPS Web配置舉例

關鍵詞：HTTPS、SSL、PKI、CA、RA

摘   要：HTTPS是支援SSL的HTTP協議。使用者可以通過HTTPS協議安全地登入裝置，通過Web頁面實現對裝置的控制。本文介紹了HTTPS的配置過程。

縮減語：

縮減語	英文全名	中文解釋
CA	Certificate Authority	認證機構
HTTPS	Hypertext Transfer Protocol Secure	安全超文字傳輸通訊協定 (HTTPS)
IIS	Internet Information Service	Internet資訊服務
MAC	Message Authentication Code	訊息驗證碼
PKI	Public Key Infrastructure	公開金鑰基礎設施
RA	Registration Authority	登錄授權單位
SCEP	Simple Certificate Enrollment Protocol	簡單憑證註冊通訊協定
SSL	Secure Sockets Layer	安全套接層

 

 

目  錄

1 特性簡介

2 應用場合

3 配置舉例

3.1 組網需求

3.2 配置思路

3.2.1 CA伺服器配置思路

3.2.2 HTTPS伺服器配置思路

3.3 配置步驟

3.3.1 配置CA伺服器

3.3.2 配置HTTPS伺服器

3.4 驗證結果

 

 

1  特性簡介

對於支援Web管理功能的裝置，開啟HTTP服務後，裝置可以作為Web伺服器，允許使用者通過HTTP協議登入，並利用Web頁面實現對裝置的訪問和控制。但是HTTP協議本身不能對Web伺服器的身份進行驗證，也不能保證資料轉送的私密性，無法提供安全性保證。為此，裝置提供了HTTPS功能，將HTTP和SSL結合，通過SSL對伺服器進行驗證，對傳輸的資料進行加密，從而實現了對裝置的安全管理。

HTTPS通過SSL協議，從以下幾方面提高了安全性：

l              用戶端通過數位憑證對伺服器進行身分識別驗證，保證用戶端訪問正確的伺服器。

l              用戶端與伺服器之間互動的資料需要經過加密，保證了資料轉送的安全性和完整性，從而實現了對伺服器（即裝置）的安全管理。

2  應用場合

HTTPS主要用於網路系統管理員遠程配置裝置。1所示，某公司在A、B兩地分別設立分公司，位於A地的網路系統管理員無法直接配置位於B地的Device B。為了實現對Device B的安全管理，網路系統管理員通過HTTPS登入Device B，利用Web頁面配置遠程裝置Device B。

圖1 HTTPS典型應用情境

 

 

3  配置舉例3.1  組網需求

公司A的網路系統管理員與該公司的研發部位於不同的城市，網路系統管理員希望安全地遠程登入到研發部的網關裝置，實現對其的控制。

2所示，HTTPS可以滿足這個需求：

l              網路系統管理員通過主機Admin與網關裝置Gateway建立HTTPS串連，通過Web頁面實現對Gateway的控制。

l              利用SSL的安全機制對HTTPS伺服器Gateway進行身分識別驗證，提高了遠程登入的安全性。

l              為了實現基於認證的身分識別驗證，公司A還需要配置CA伺服器，為Gateway頒發認證。本配置舉例以Windows Server 2003為例，說明CA伺服器的配置方法。

圖2 HTTPS典型配置舉例組網圖

 

 

3.2  配置思路

為了實現上述組網需求，需要完成表1中的操作。

表1 配置步驟簡介

操作	配置思路	詳細配置
配置CA伺服器	3.2.1	3.3.1
配置HTTPS伺服器	3.2.2	3.3.2

 

3.2.1  CA伺服器配置思路 

Windows Server 2003作為CA伺服器時，需要在CA伺服器上安裝並啟用IIS。

 

Windows Server 2003作為CA伺服器時，配置過程為：

(1)        安裝認證服務元件，並設定CA伺服器的類型、名稱等參數。

(2)        安裝SCEP外掛程式。SCEP是認證申請者與認證機構通訊時使用的協議。Windows Server 2003作為CA伺服器時，預設情況下不支援SCEP，所以需要安裝SCEP外掛程式，才能使CA伺服器具備自動處理憑證註冊和頒發等功能。

(3)        將認證服務的頒發策略修改為自動頒發認證。否則，收到認證申請後，管理員需要確認申請，並手工頒發認證。

(4)        修改IIS服務的屬性。將預設網站的路徑修改為認證服務儲存的路徑；為了避免與已有的服務衝突，建議修改預設網站的TCP連接埠號碼。

3.2.2  HTTPS伺服器配置思路

HTTPS伺服器的配置過程為：

(1)        配置PKI。PKI是通過公開密鑰技術和數位憑證來確保系統資訊安全，並負責驗證數位憑證持有人身份的一種體系。SSL通過PKI實現對伺服器和用戶端的身分識別驗證。配置HTTPS伺服器之前，首先要完成PKI的配置，其中包括：

l              配置PKI實體。實體的身份資訊用來唯一標識認證申請者。

l              配置PKI域。實體在進行認證申請操作之前需要配置一些註冊資訊來配合完成申請的過程。這些資訊的集合就是一個實體的PKI域。建立PKI域的目的是便於其它應用引用PKI的配置。

l              產生RSA本地金鑰組。金鑰組的產生是認證申請過程中重要的一步。申請過程使用了一對主機密鑰：私密金鑰和公開金鑰。私密金鑰由使用者保留，公開金鑰和其他資訊則交由CA中心進行簽名，從而產生認證。

l              擷取CA認證，並下載至本地，以便驗證申請到認證的真實性和合法性。

l              申請本地認證。可以採用手工和自動兩種方式申請本地認證。本配置中以手工方式為例。

(2)        使能HTTPS服務，並配置HTTPS使用的PKI域。

(3)        建立本機使用者，通過使用者名稱和密碼實現對使用者身份的驗證。

3.3  配置步驟 

l    進行下面的配置之前，需要確保HTTPS伺服器Gateway、HTTPS用戶端Admin和CA伺服器之間的路由可達。

l    以下對配置HTTPS伺服器的描述以SecPath F1000-E產品為樣本，其他產品的頁面可能有所不同。

l    下面配置步驟中的各頁面或視窗的配置項，如果沒有特殊說明，均採用其預設設定。

 

3.3.1  配置CA伺服器1. 安裝認證服務元件

(1)        開啟[控制台]/[添加或刪除程式]，選擇[添加/刪除Windows組件]。在[Windows組件嚮導]中，選中“認證服務”，並單擊<下一步>按鈕。

圖3 安裝認證服務元件1

 

 

(2)        選擇CA類型為獨立根目錄CA，並單擊<下一步>按鈕。

圖4 安裝認證服務元件2

 

 

(3)        輸入CA的名稱為CA server，並單擊<下一步>按鈕。

圖5 安裝認證服務元件3

 

 

(4)        選擇CA認證資料庫、資料庫日誌和共用資料夾的儲存位置，並單擊<下一步>按鈕。

圖6 安裝認證服務元件4

 

 

 

安裝認證服務元件時，介面上會出現CA認證資料庫、資料庫日誌和共用資料夾的預設存放路徑。本配置舉例中使用了預設存放路徑，其中共用資料夾存放路徑中的“ca”為CA伺服器的主機名稱。

 

(5)        認證服務元件安裝成功後，單擊<完成>按鈕，退出[Windows組件嚮導]視窗。

2. 安裝SCEP外掛程式

(1)        雙擊運行SCEP的安裝檔案，在彈出的視窗中，單擊<下一步>按鈕。

 

SCEP的安裝檔案可以從Microsoft網站免費下載。

 

圖7 安裝SCEP外掛程式1

 

 

(2)        選擇使用本地系統帳戶作為標識，並單擊<下一步>按鈕。

圖8 安裝SCEP外掛程式2

 

 

(3)        去掉“Require SCEP Challenge Phrase to Enroll”選項，單擊<下一步>按鈕。

圖9 安裝SCEP外掛程式3

 

 

(4)        輸入RA向CA伺服器登記時使用的RA標識資訊，單擊<下一步>按鈕。RA的功能包括個人身份審核、CRL管理、金鑰組產生和金鑰組備份等。RA是CA的延伸，可以作為CA的一部分。

圖10 安裝SCEP外掛程式4

 

 

(5)        完成上述配置後，單擊<完成>按鈕，彈出11所示的提示框。記錄該URL地址，並單擊<確定>按鈕。

圖11 安裝SCEP外掛程式5

 

 

 

配置HTTPS伺服器Gateway時，需要將註冊伺服器位址配置為提示框中的URL地址，其中的主機名稱ca可以替換為CA伺服器的IP地址。

 

3. 修改認證服務的屬性

完成上述配置後，開啟[控制台/管理工具]中的[憑證授權單位]，如果安裝成功，在[頒發的認證]中將存在兩個CA伺服器頒發給RA的認證。

(1)        按右鍵[CA server]，選擇[屬性]。

圖12 修改認證服務的屬性

 

 

(2)        在[CA server 屬性]視窗選擇“原則模組”頁簽，單擊<屬性>按鈕。

圖13 認證服務屬性視窗

 

 

(3)        選擇原則模組的屬性為“如果可以的話，按照憑證範本中的設定。否則，將自動頒發認證(F)。”，單擊<確定>按鈕。

圖14 原則模組的屬性

 

 

(4)        單擊圖15中的停止服務和圖16中的啟動服務按鈕，重啟認證服務。

圖15 停止認證服務

 

 

圖16 啟動認證服務

 

 

4. 修改IIS服務的屬性

(1)        開啟[控制台/管理工具]中的[Internet 資訊服務(IIS)管理器]，按右鍵[預設網站]，選擇[屬性]。

圖17 IIS管理器

 

 

(2)        選擇[預設網站 屬性]視窗中的“主目錄”頁簽，將本地路徑修改為認證服務儲存的路徑。

圖18 修改預設網站的主目錄

 

 

(3)        選擇[預設網站 屬性]視窗中的“網站”頁簽，將TCP連接埠改為8080。

 

為了避免與已有的服務衝突，預設網站的TCP連接埠號碼不能與已有服務的連接埠號碼相同，且建議不要使用預設連接埠號碼80。

 

圖19 修改預設網站的TCP連接埠號碼

 

 

3.3.2  配置HTTPS伺服器1. 配置Gateway向CA伺服器申請認證 

l    認證中包含有效時間，建議為Gateway申請認證之前，將Gateway與CA伺服器的時間同步，以避免擷取認證失敗。

l    預設情況下，裝置上存在預設的PKI域及認證，在配置HTTPS服務時可以直接引用，因此本步驟可選。預設PKI域及認證的具體情況與裝置的型號有關，請以裝置的實際情況為準。

 

(1)        配置PKI實體aaa。

l              在導覽列中選擇“VPN > 認證管理 > PKI實體”，單擊<建立>按鈕。

l              輸入PKI實體名稱為“aaa”。

l              輸入通用名為“gateway”。

l              單擊<確定>按鈕完成操作。

圖20 配置PKI實體aaa

 

 

(2)        配置PKI域ssl。

l              在導覽列中選擇“VPN > 認證管理 > PKI域”，單擊<建立>按鈕。

l              輸入PKI網域名稱稱為“ssl”。

l              輸入CA標識符為“CA server”。

l              選擇本端實體為“aaa”。

l              選擇登錄授權單位為“RA”。

l              輸入認證申請URL為“http://5.5.5.1:8080/certsrv/mscep/mscep.dll”（為安裝SCEP外掛程式時彈出的URL地址，格式為“http://host:port/certsrv/mscep/mscep.dll”，其中的“host”和“port”分別為CA伺服器的主機地址和連接埠號碼）。

l              單擊<確定>按鈕，彈出對話方塊提示“未指定根憑證指紋，在擷取CA認證時將不對根憑證指紋進行驗證，確認要繼續嗎？”，再次單擊<確定>按鈕完成操作。

圖21 配置PKI域ssl

 

 

(3)        產生RSA本地金鑰組。

l              在導覽列中選擇“VPN > 認證管理 ＞ 認證”，單擊<建立密鑰>按鈕。

l              輸入密鑰長度為“1024”。

l              單擊<確定>按鈕完成操作。

圖22 產生RSA本地金鑰組

 

 

(4)        手動線上擷取CA認證。

l              在認證顯示頁面單擊<擷取認證>按鈕。

l              選擇PKI網域名稱稱為“ssl”。

l              選擇認證類型為“CA”。

l              單擊<確定>按鈕完成操作。頁面跳回認證顯示頁面，可以看到已擷取到的CA認證。

圖23 擷取CA認證

 

 

(5)        手動線上申請本地認證。

l              在認證顯示頁面單擊<申請認證>按鈕。

l              選擇PKI網域名稱稱為“ssl”。

l              單擊<確定>按鈕提交認證申請。

圖24 申請本地認證

 

 

l              彈出提示框“認證申請已提交。”，再次單擊<確定>按鈕。頁面跳回認證顯示頁面，可以看到已申請到的本地認證。

圖25 完成認證申請後的認證顯示頁面

 

 

2. 配置HTTPS服務

使能HTTPS服務，並配置HTTPS使用PKI域ssl的本地認證。

l              在導覽列中選擇“裝置管理 > 服務管理”。

l              選中“啟用HTTPS服務”前的複選框。

l              選擇認證為“CN=gateway”。

l              單擊<確定>按鈕完成操作。

圖26 配置HTTPS服務

 

 

3. 配置本機使用者

配置本機使用者abc，密碼為123，服務類型為Web，訪問等級為Management。

l              在導覽列中選擇“使用者管理 > 本機使用者”，單擊<建立>按鈕。

l              輸入使用者名稱為“abc”。

l              選擇訪問等級為“Management”。

l              選擇服務類型為“Web”。

l              輸入密碼為“123”，輸入確認密碼為“123”。

l              單擊<確定>按鈕完成操作。

圖27 建立本機使用者abc

 

 

3.4  驗證結果

(1)        在Admin上開啟IE，輸入網址https://1.1.1.1。彈出[安全警報]的對話方塊提示使用者是否繼續訪問伺服器。

圖28 確認HTTPS伺服器的認證

 

 

(2)        單擊<是>按鈕，進入Gateway的Web網管使用者登入介面。

(3)        輸入使用者名稱abc、密碼123和驗證碼，選擇Web頁面的語言種類，單擊<登入>按鈕，即可進入Gateway的Web介面對其進行控制。

圖29 Web網管使用者登入介面