Stunnel–通用SSL加密程式

Stunnel是一個可以用SSL對任意 TCP 串連加密的程式。它可以運行在多種UNIX和Windows作業系統之上。這樣說來，它很好的解決了SSL不能對現有的舊的應用程式傳輸的資料加密的問題，也就是說，在Stunnel出現之前，要實現安全的資料轉送，只能依靠在應用程式之中添加SSL代碼的方式來提高安全性，但現在，可以不這樣做了，Strunnel 為你解決了很多問題。 #w?www.5y6s.net  
  Stunnel是基於 OpenSSL的，所以它要求已經安裝了 OpenSSL，並進行了正確的配置。它可以向不啟用 SSL 的伺服器端軟體添加 SSL。例如，可以使用 Stunnel 來保護 POP3、SMTP 和 IMAP 伺服器。唯一不太盡人意的地方是要使用這些伺服器的安全版本，客戶機必須是可識別 SSL 的。 www.5y6s.net  
  對於Stunnel這個項目而言，它是開源的。當然它的原始碼並非是一個完整的產品，因為它是基於OpenSSL的，編譯和運行它，你需要有一個SSL庫比如 OpenSSL或者SSLeay。這就是說Stunnel能支援所有(也是僅僅)SSL庫所支援的，在沒有改變Stunnel原始碼的情況下。 ? www.5y6s.net  
Stuunel的原始碼在GNU許可下有效。也就說它可以被自由地在商業和非商業應用中使用並修改，只要你提供原始碼以及所有修改資訊和軟體。你要編譯Stunnel庫是受你選擇的許可證限制的，然而OpenSSL和SSLeay都是開源的並且在許可中是同樣的慷慨。 ?€ www.5y6s.net  
不幸的是，Stunnel 有一些局限性。在伺服器端，它當前只能夠透明地代理 Linux 客戶機。在客戶機端，不容易執行充分的認證驗證。即使如此，Stunnel 仍是實用價值很高的公用程式，應該成為程式員，同樣也是系統管理員的安全法寶。如果您正在開發自己的軟體，應該能夠很容易地將 Stunnel 整合到自己的程式中。 銹?www.5y6s.net  
  對網路安全和SSL感興趣的朋友可以到Stunnel官方網站: http://www.stunnel.org下載最新的Stunnel原始碼及協助文檔和樣本。 J枏 www.5y6s.net  
  有了前面的敘述相信你對stunnel已經有一定的瞭解了，接下來，說明一個用Stunnel加密MySQL的例子(這是Stunnel官方網站提供的，本人只做翻譯：)。 }電 www.5y6s.net  
??www.5y6s.net  
使用Stunnel3.24加密MySQL串連： P www.5y6s.net  
由於我見到許多請求資訊是關於對MySQL串連加密的，所有我想我應該公開我這樣一個加密解決方案給那些對stunnel感興趣的人。我成功地在OpenSSL0.9.6的基礎上編譯了stunnel 3.14並用它為Mysql 3.22.32做加密串連。這裡所有操作都是在Red Hat 6.2上進行的。 ▍?www.5y6s.net  
我的MySQL用戶端包括MysQL用戶端應用程式和dbish應用程式及Perl DBI模組。為了加密MySQL用戶端和伺服器端的串連，需要運行兩個Stunnel執行個體，一個在客戶機上，另一個在伺服器上。下面我將把它們稱為CLIENT和 SERVER。客戶Stunnel從MySQL用戶端應用程式接收MySQL 的查詢，加密這些查詢，然後將加密的資訊發往SERVER的3307連接埠。另一方面，SERVER上的Stunnel監聽3307連接埠，解密已經加密過的查詢請求並返回給3306連接埠—MySQL標準的預設串連連接埠(譯者注) g?www.5y6s.net  
  在CLIENT運行Stunnel的命令是： ?\ www.5y6s.net  
./stunnel -P/tmp/ -c -d 3306 -r SERVER:3307 4P?www.5y6s.net  
而在SERVER上運行Stunnel的命令是： www.5y6s.net  
    ./stunnel -P/tmp/ -p stunnel.pem -d 3307 -r localhost:3306 眖?www.5y6s.net  
這裡我假定兩台機器上的Stunnel者是已經編譯好的二進位代碼並且Stunel的認證檔案也都在兩台機器的目前的目錄下。然而，一些需要注意的是你應該儲存好stunnel.pem檔案。所以最好運行stunnel是做為一個特殊非登陸使用者並使得stunnel.pem的所有者UID為0400。 輕 www.5y6s.net  
  現在，從CLIENT，你可以訪問你的MySQL資料庫並享受SSL加密的好處，通過如下命令： + www.5y6s.net  
    mysql -h CLIENT -u YOURDBUSER -p |I www.5y6s.net  
這個命令總是同樣地執行你在使用stunnel之前的命令，但是注意你用-h選項指定的是那個運行著stunnel客戶背景程式而並非是那台運行MySQL伺服器背景程式的機器。 oj www.5y6s.net  
  James Walden             | "Fall leaves blanket ground ? www.5y6s.net  
Sr Internet Software Engineer   |   Redmond dreams darkly, beware ?e www.5y6s.net  
IMS, JFT-104, B-7           |   Winter brings penguins" :縁 www.5y6s.net  
(503) 712-2241             |   -- Kevin Hackman 硠?www.5y6s.net  
j癠 www.5y6s.net  
!唽 www.5y6s.net  
在Stunnel的老家，有很多的stunnel加密的examples，例如如何通過Stunnel為IMAP伺服器提供SSL支援。而Stunnel的地FAQ中也提供了從編譯到使用的多方面的協助。 ??www.5y6s.net  
  可惜的是，當前還沒有知名的商業組織支援stunnel。如果你想瞭解什麼，可訪問它的網站或者聯絡：FAQ maintainer。然而，有大量的可用協助，包括： {睾 www.5y6s.net  
    Stunnel-Announce Mailing List stunnel-announce-subscribe@mirt.net ??www.5y6s.net  
    Stunnel-Users Mailing List stunnel-users-subscribe@mirt.net T烉 www.5y6s.net  
你只需要發送空的郵件到上面的郵件清單，就能得到stunnel為你提供的更近一步的服務和指導。 f? www.5y6s.net  
There are no known commercial organizations that support stunnel. If you know any, contact the FAQ maintainer. However there is a great deal of help available from the following two resources 獑y www.5y6s.net  
J閿 www.5y6s.net  
參考：Stunnel官方網站: http://www.stunnel.org
現今SSL安全性通訊協定廣泛地用在Internet和Intranet的伺服器產品和用戶端產品中，用於安全地傳送資料，集中到每個WEB伺服器和瀏覽器中，從而來保證來使用者都可以與Web網站安全交流 。本文將詳細介紹SSL安全性通訊協定及在WEB伺服器安全的應用。 賡?www.5y6s.net  
　一、SSL安全性通訊協定在WEB伺服器中的應用 ? www.5y6s.net  
d?www.5y6s.net  
　1、我們為提供具有真正安全連線的高速安全套接層SSL）交易，可以將PCI卡形式的SSL卸載（offloading）裝置直接安裝到Web伺服器上，這種做法的好處是：　 m" www.5y6s.net  
錧 www.5y6s.net  
　（1）從客戶機到安全Web伺服器的資料安全性；　 '? www.5y6s.net  
x? www.5y6s.net  
　（2）由於卸載工具執行所有SSL處理過程並完成TCP/IP協商，因此大大提高了輸送量；　 L房 www.5y6s.net  
狕B www.5y6s.net  
　（3）簡化了密鑰的管理和維護。　 k綀 www.5y6s.net  
．?www.5y6s.net  
　安全性加大在實現向電子商務和其它安全Web網站的伺服器增加SSL加速和卸載裝置的結果是提高了交易處理速度。但是由於裝置是作為應用被安裝在網路上的，因此裝置與安全伺服器之間的資料是未加密的。將SSL卸載裝置作為PCI擴充卡直接安裝在安全伺服器上，保證了從瀏覽器到伺服器的串連安全性。 鮑F www.5y6s.net  
袰?www.5y6s.net  
　SSL可以用於線上交易時保護象信用卡號以及股票交易明細這類敏感資訊。受SSL保護的網頁具有"https"首碼，而非標準的"http"首碼 ㄏ?www.5y6s.net  
詔s www.5y6s.net  
　2、新型專用網路裝置SSL加速器可以使Web網站通過在最佳化的硬體和軟體中進行所有的SSL處理來滿足效能和安全性的需要。　 ??www.5y6s.net  
JG?www.5y6s.net  
　當具有SSL功能的瀏覽器（Navigator、IE)與Web伺服器(Apache、IIS)通訊時，它們利用數位憑證確認對方的身份。數位憑證是由可信賴的第三方發放的，並被用於產生公用密鑰。　 + www.5y6s.net  
嫋?www.5y6s.net  
　當最初的認證完成後，瀏覽器向伺服器發送48位元組利用伺服器公用祕密金鑰加密的主要金鑰，然後Web伺服器利用自己的私人密鑰解密這個主要金鑰。最後，瀏覽器和伺服器在會話過程中用來加解密的對稱金鑰集合就產生了。密碼編譯演算法可以為每次會話顯式地配置或協商，最廣泛使用的加密標準為"資料加密標準"（DES）和RC4。　 蚢 www.5y6s.net  
茚 www.5y6s.net  
　一旦完成上述啟動過程，安全通道就建立了，保密的資料轉送就可以開始了。儘管初始認證和密鑰產生對於使用者是透明的，但對於Web伺服器來說，它們遠非透明。由於必須為每次使用者會話執行啟動過程，因而給伺服器CPU造成了沉重負擔併產生了嚴重的效能瓶頸。據測試，當處理安全的SSL會話時，標準的Web伺服器只能處理1％到10％的正常負載。 H?www.5y6s.net  
髊?www.5y6s.net  
　二、應做的處理　 ` www.5y6s.net  
?A www.5y6s.net  
　密碼在加解密資料時，使用兩種類型的密鑰。私人密鑰被發給各實體並且永遠不向外透露，公用密鑰可以任意分發。這兩種金鑰組於認證過程是必不可少的。使用公開金鑰加密的資料不能使用同一個密鑰進行解密，必須使用私人密鑰進行解密。　 蚛b www.5y6s.net  
??www.5y6s.net  
　SSL使用複雜的數學公式進行資料加密和解密，這些公式的複雜性根據密碼的強度不同而不同。高強度的計算會使多數伺服器停頓，導致效能下降。多數Web伺服器在執行SSL相關任務時，輸送量會顯著下降，效能比在只執行HTTP 1.0串連時的速度慢50多倍。而且由於SSL複雜的認證方案和加/解密演算法，SSL需要大量地消耗CPU資源，從而造成Web伺服器效能很大的下降。它所造成的伺服器瓶頸使Web網站的速度慢如蝸牛爬行，這無疑會失去線上客戶。　 鉀?www.5y6s.net  
a~?www.5y6s.net  
　為解決這種效能上的損失，我們可以通過安裝SSL加速器和卸載器來減少SSL交易中的時延。加速器通過執行一部分SSL處理任務來提高交易速度，同時依靠安全Web伺服器軟體完成其餘的任務。卸載器承擔所有SSL處理任務並且不需要安全Web伺服器軟體，從而使Web伺服器可以以同樣的高速度提供安全和非安全的服務。由於密鑰管理和維護過程不依靠對應用軟體的手工配置，因此使用卸載器效率會更高一些。　 炵?www.5y6s.net  
ū?www.5y6s.net  
　多數這類裝置作為網路應用被安裝在機架式或小底座網路裝置上，由於它們為整個網路提供加解密服務，因此裝置與Web伺服器之間的資料是未加密的。　 災K www.5y6s.net  
/ www.5y6s.net  
　通過直接在伺服器上安裝SSL卸載器，可以解決速度和安全性問題。加密的資料由客戶機經過Internet和網路直接傳送到一台伺服器上。安裝在這台伺服器上的卸載器對資料進行解密並將其沿PCI匯流排直接傳送到處理器。這樣做的結果是宿主伺服器在保證客戶機與伺服器之間傳輸時資料安全性的同時，以非安全交易服務同樣的速度提供了安全交易服務。　 歒?www.5y6s.net  
凶?www.5y6s.net  
　SSL加速裝置的出現就是為瞭解決對CPU資源過量需求的SSL協議所造成的效能問題，這類裝置是一些用以在不增加Web伺服器負擔的條件下處理SSL任務的特殊的網路組件。通過最佳化硬體和軟體，專用SSL加速器處理SSL會話的速度為標準Web伺服器的10到40倍。此外，SSL加速器解放了伺服器資源，使這些資源可以真正用於處理應用邏輯和資料庫查詢，從而加快了整個網站的速度。　 ? www.5y6s.net  
暤 www.5y6s.net  
　將SSL裝置整合到網路中很簡單，第4層到第7層交換器或負載平衡裝置被配置為將所有的443連接埠（Https）請求改向傳送到SSL裝置。這時，這台裝置承擔所有的SSL處理任務，因而立即解脫了Web伺服器的負載。隨著安全傳輸串流容量的增加，在不增加不必要的管理負擔的條件下，可以再部署其他SSL裝置。　 ?h www.5y6s.net  
]蓏 www.5y6s.net  
　最近，SSL加速器功能已經被整合到象伺服器端緩衝（即所謂的"伺服器加速器"）這類Web內容提交產品中了。這種作法的主要好處是，伺服器加速器進行SSL處理和對象提交。　 嚲?www.5y6s.net  
堯p www.5y6s.net  
　配置SSL功能的伺服器加速器使廣泛地將SSL用於Web基礎設施上的安全內容交換成為可能，安全網頁將快速地得到提交，安全交易也將迅速地完成。　 ?_ www.5y6s.net  
??www.5y6s.net  
　三、如何?WEB和Internet安全 ? www.5y6s.net  
柿?www.5y6s.net  
　我們在安裝好Certificate Server後，給自己的Web Server發一張認證，安全網站已經建立起來了，在IIS管理器中開啟安全通道（先不要接受客戶認證驗證，如果沒有瀏覽器認證的話），把http改為https後訪問的網站，怎麼系統提示伺服器憑證有問題？記得在瀏覽器中安裝的根憑證了?要不就是伺服器憑證到期了，如果沒有在瀏覽器中安裝根憑證，就要安裝它，同時其他人通過Internet訪問網站如果沒有安裝根憑證，需要將根憑證放在網上讓別人下載。用IE安裝根憑證很簡單，瀏覽器提示使用者開啟或儲存時選擇開啟，會看到根憑證資訊然後按安裝認證就可以了。但可能會發現Netscap無法安裝根憑證，SSL協議是由Netscape首先提出並實現的，Netscape使用MIME類型application/x-x509-ca-cert來表示CA認證，IE3.1以後開始支援SSL，起初Windows系統的數位憑證檔案（.crt和.cer）也採用相同的MIME類型，IE5.0以後MIME類型被改為application/pkix-cert這就造成Netscape安裝根憑證困難。不過這個問題好解決，只要在IIS裡新註冊application/x-x509-ca-cert的MIME類型就可以了。剛發的認證瀏覽器有時也會顯示認證到期，這是因為瀏覽器判斷認證有效是從認證有效起始時間的後一天開始，此外數位憑證中的日期大都是GMT時間而不是本地時間，所以通常將本機時間向後調整一天這個問題就能解決，所以認證到期不僅僅可能表示太晚也可能表示太早。　 覗d www.5y6s.net  
摞O www.5y6s.net  
　一切都已經就緒，進入安全網頁了，在IE的狀態列裡應該有一個小鎖，雙擊這個小鎖能看到網站認證資訊，同時也能看到整個憑證鏈結。現在也許會問"那麼現在我怎麼用SSL加密我的資料呢？"，實際上現在瀏覽器和Web伺服器之間交換的所有資訊都已經被加密，SSL是工作在網路層與會話層之間的協議，它在TCP/IP和HTTP之間增加了一個加密層，所以對於工作在HTTP協議以上的使用者而言，加密是完全透明的，所以請忘記"用SSL加密"這句話，除非直接在Socket上開發，比如寫個網路螞蟻之類的。　 嬈 www.5y6s.net  
€:?www.5y6s.net  
　現在想用SSL實現更多的東西，不僅僅是加密。是申請瀏覽器（客戶）認證的時候了，申請客戶認證過程也不複雜，除了相同的名稱，國家之類的還多一個EMail地址，如果用IE申請認證可能會有許多選項，其中有兩個比較有意義，"允許私密金鑰被匯出"對與不在固定機器上上網的人比較有用，如果在一台機器上申請了認證，匯出認證和私密金鑰並安裝到其他機器上就可以在其他機器上使用了。"使用者保護"會讓瀏覽器在使用的私密金鑰時提示，這通常發生在加密和簽名過程之前。認證安裝過程通常都是自動的，安裝完成後可以欣賞一下，在IE中開啟Internet選項，選擇內容一欄，按"認證"按鈕"，在個人一欄內應該有客戶認證。　 ??www.5y6s.net  
+髊 www.5y6s.net  
　現在在IIS管理器中佈建網站要求客戶認證，然後訪問網站，瀏覽器會彈出一個對話方塊，讓選擇要使用的客戶認證，然後就進去了，也沒什麼不同。那麼怎麼樣利用SSL實現身份認證呢？首先可以在IIS管理器中啟用客戶認證映射，將客戶認證影射到NT帳號，可以映射某張認證，也可以映射所有根憑證所簽發的客戶認證，如果在簽發者列表中找不到根憑證，需要運行SSLCA.exe（IIS4.0以上），以後的事就屬於NT管理員的範疇了。如果不想用NT的安全機制，就需要擷取對方客戶認證的資訊，然後進行判斷。通常客戶認證的資訊由HTTPS_開頭的伺服器變數提供，如Apache Server，Domino等，可以查看文檔或者寫一個小的CGI程式列出所有的伺服器變數。如果是IIS就更簡單了：　 Et?www.5y6s.net  
ㄗ www.5y6s.net  
　用 Request.ClientCertificate( Key[SubField] )可以訪問想要的內容：　 牡?www.5y6s.net  
?www.5y6s.net  
　如可顯示客戶認證的國家代碼。具體參數請在MSDN搜尋ClientCertificate。
不需要寫代碼 m澱 www.5y6s.net  
一，伺服器上裝有CA(Certificate Server) ^{7 www.5y6s.net  
1，伺服器上安裝CA =M?www.5y6s.net  
Win2000中帶有CA的安裝程式。單擊Start，Control Pannel Add/Remove Programs兵單擊Add/Remove Windows Compenents。當Windows Component Wizard出現時，選擇認證服務（Certificate Services）。下一步中，安裝需要指出伺服器授權的類型，一般作為一個獨立的Web伺服器，選擇Stand-alone root CA。然後，需要指定共用資料夾，這作為認證服務的配置資料存放區位置，單擊Next，安裝完畢。 飣 www.5y6s.net  
注意：自己建立CA 機構時，所給CA機構起的名是自己定義的，在用戶端的IE中，在一開始並不屬於用戶端信任的根授權，如果，用戶端沒有把該CA機構加為自己所信任的根授權，那麼在用戶端訪問該伺服器上的網站時，會出現安全警告資訊。 _}7 www.5y6s.net  
2，建立並安裝一個網站認證 個?www.5y6s.net  
步驟如下： 荴?www.5y6s.net  
A， 開啟IIS，選定要安裝認證的網站，單擊右鍵，選擇快顯功能表中的properties，在彈出的對話方塊中，單擊directory security屬性頁面，單擊Server Certificate按鈕，出現IIS Certificate Wizard對話方塊，這一步的操作，所完成的功能是產生一個向CA申請數位憑證的密鑰檔案，檔案以.txt的格式存於本機目錄下。 眛?www.5y6s.net  
B， 通過Certificate Server Enrollment的頁面訪問註冊控制項和它的表格： //?www.5y6s.net  
在安裝了Certificate Service的機器上可以從位於http://localhost/certsrv 的Certificate Server Administration Tools Web頁面可以訪問該註冊控制項。選擇request a certificate 選項，在下一頁面中選擇advance request，這裡需要注意的是，如果是給網站申請數位憑證時必須選擇該項，因為賦予網站的數位憑證需要使用a步驟中所產生的特定的密鑰檔案，這樣才能產生屬於該網站的唯一的數位憑證。而一般User certificate request 是針對需要訪問該網站的客戶設計的，分別有web browser certificate 和E-Mail Protection certificate 兩種方式。客戶採用web browser certificate方式申請對有SSL保護的網站的訪問，而E-Mail Protection certificate是保護客戶收發email時的資訊傳送。接下去頁面的Advanced Certificate Requests 中我們選擇Submit a certificate request using a base64 encoded PKCS #10 file or a renewal request using a base64 encoded PKCS #7 file。因為這種格式和在a步驟中所產生的密鑰檔案的加密格式一致。然後，可以通過browse把存在本機上的.txt密鑰檔案上傳至網頁上，遞出申請。在最後的介面中，會被告知請求已經被接到並正在等待認證授權機構的批准。 w攬 www.5y6s.net  
C， 微軟的Certificate Service可以使用MMC來管理： ?s?www.5y6s.net  
伺服器提出的要求數字驗證的請求傳遞到CA機構中，開啟Start/Program/Administrative tools/Certification Authority後，可以看到pending request檔案夾，這個檔案夾包含了所有等待root授權機構獲批准的認證請求。如果CA認證機構覺得該網站的申請可行，則單擊右鍵選擇issue，這樣，該檔案就被移到了issued Certificates，表示申請成功，這個節點包含了所有被認證服務的管理員批准並被發布的認證。反之如果CA機構覺得該申請不可行，則選擇Deny，該檔案被轉移到Failed request，表示申請失敗，這個節點包含了所有被拒絕的認證請求。對申請成功並發布的數位憑證而言，如果CA機構想取消該認證，可以單擊右鍵選擇revoke，則已申請成功的數位憑證被移到revoke certificates檔案夾內，這個節點包含了所有被發布但是又被撤銷的認證。 /?www.5y6s.net  
D， 提交數字驗證的網站在等待一定時間後，依然可以通過http://localhost/certsrv來查看自己所申請的數字驗證的進行情況。選擇Check On A Pending Certificate選項並單擊Next 按鈕繼續。從選項框中選擇候選的請求，單擊Next按鈕繼續。為下載該檔案選擇Base64 encoding並單擊Download CA Certificate連結以開始下載過程。這樣就從認證授權機構接到了伺服器憑證檔案。開啟IIS，選定已經得到數字驗證的網站，單擊右鍵後選擇properties，在屬性頁面directory security中，單擊Server Certificate 按鈕以啟動Web服務憑證嚮導，選擇Process A Pending Request and Install Certificate選項。選擇上一步驟中download下來的數位憑證（即.cer檔案）的存放路徑，開始安裝。安裝成功後，directory security屬性頁面中的view certificate和edit按鈕由disable變為enable。整個網站的數字驗證過程完畢。 覄?www.5y6s.net  
3，關於certificate的屬性設定 瀽u www.5y6s.net  
點擊directory security屬性頁面的edit按鈕，可以進行網站數字驗證屬性的設定。首先，如果選擇了require secure channel(SSL)複選框，則http的形式將無法訪問該網站，只有採用https的方式進行訪問。如果不選擇該項的話，則http和https兩種方式並存，都可以進行對此網站的訪問。如果選擇了該項，則又有三種方式可供選擇，分別是ignore client certificate，accept client certificate 以及require client certificate。Ignore client certificate表示不接受客戶認證（預設）：如果客戶瀏覽器安裝了客戶認證，會返回一個Access Denied訊息。Accept client certificate表示接受認證：不管客戶是否安裝了客戶認證對伺服器沒有區別，訪問在兩種情況下都是允許的。Ignore client certificate表示需要客戶認證：除非客戶有一個被root CA（這裡是認證伺服器）授予的合法認證，否則訪問被拒絕。客戶要訪問網站，必須得先從伺服器得到數字驗證，也即，用戶端必須首先向要訪問的網站提出要求數字驗證的申請，在得到伺服器端發回的用於兩者間資訊互動的數位憑證後，才可以對該網站進行訪問，否則，網站將拒絕該客戶的訪問。 鐪?www.5y6s.net  
不同的網站可以針對這三個屬性進行不同的設定。 泒?www.5y6s.net  
4，用戶端SSL的配置 憔?www.5y6s.net  
在瀏覽器和Web網站之間開始SSL通訊之前，用戶端必須能夠認出伺服器的認證是合法的。要做到這一點，用戶端必須和伺服器的認證授權機構取得聯絡，在這種情況下是本地的認證伺服器。如果沒能實現前面的步驟，直接連到SSL網站，會首先接到安全警告資訊。客戶瀏覽器需要在瀏覽器的Trusted Root Store中安裝認證。要安裝認證，在安全警告對話方塊出現時，單擊View Certificate按鈕，就會出現一個對話方塊，該對話方塊中包含了認證的資訊。單擊Install Certificate 按鈕以啟動認證匯入嚮導。 3 www.5y6s.net  
對客戶而言，SSL的配置就相對比較簡單，客戶可以選擇申請數位憑證，也可以不用，只是，如果客戶所訪問的某個網站設定了require client certificate屬性，則客戶必須在得到了該網站的數字驗證後，才能對此進行訪問，換言之，客戶想得到訪問權，就必須先向網站提出申請。 欠 www.5y6s.net  
客戶通過訪問http://servername/certsrv來申請數字驗證，它的操作過程和網站申請數字驗證基本雷同，只是它不是選擇Advance request這一項，而是使用User certificate request 下的web browser certificate選項，只要填寫客戶的一些相應資訊後，就能遞出申請，而當CA機構認證後，也是從網上直接下載相對應的數位憑證至本機。這樣，每當訪問該網站，當彈出要求用戶端數字驗證的訊息框後，客戶選擇已經下載過的數位憑證，就可以進行對網站的訪問了。 W惉 www.5y6s.net  
q? www.5y6s.net  
注意事項：如果網站的連接埠號碼不是預設的80，而是自己定義的話，則相應的也要給SSL Port 設定一個連接埠號碼，以示區別，而訪問http和https時，所輸入的連接埠號碼是不一致的。如果網站使用預設的80連接埠，則SSL也不需要配置特定的連接埠號碼，它的預設連接埠號碼為443。 苻?www.5y6s.net  
??www.5y6s.net  
二，伺服器和裝有CA(Certificate Server)的電腦獨立 服 www.5y6s.net  
網站申請數位憑證的過程和前面部分一樣。只是，上一部分的操作因為CA和伺服器設在同一台機器上，所以，訪問原生http://localhost/certsrv就可以了，而這一部分，因為CA和伺服器的電腦獨立，所以，申請的時候也和用戶端一樣，遠端存取http://CAname/certsrv ，其中的具體操作和上一部分一樣。只是，在這種情況下，該網站如果設定了require client certificate，則客戶就很難訪問該網站了，因為用戶端無法向該網站發出要求數字驗證的申請。一般而言，最好採用accept client certificate。