客户端ssl协议

ssl协议  时间:2021-02-24  阅读:()
i目录1SSL·1-11.
1SSL简介1-11.
1.
1SSL安全机制1-11.
1.
2SSL协议结构1-11.
2SSL配置任务简介·1-21.
3配置SSL服务器端策略1-21.
4配置SSL客户端策略1-31.
5SSL显示和维护1-41-11SSL1.
1SSL简介SSL(SecureSocketsLayer,安全套接字层)是一个安全协议,为基于TCP的应用层协议(如HTTP)提供安全连接.
SSL协议广泛应用于电子商务、网上银行等领域,为应用层数据的传输提供安全性保证.
1.
1.
1SSL安全机制SSL提供的安全连接可以实现如下功能:保证数据传输的机密性:利用对称密钥算法对传输的数据进行加密,并利用密钥交换算法,如RSA(RivestShamirandAdleman),加密传输对称密钥算法中使用的密钥.
对称密钥算法、非对称密钥算法RSA的详细介绍请参见"安全配置指导"中的"公钥管理".
验证数据源的身份:基于数字证书利用数字签名方法对SSL服务器和SSL客户端进行身份验证.
SSL服务器和SSL客户端通过PKI(PublicKeyInfrastructure,公钥基础设施)提供的机制获取数字证书.
PKI及数字证书的详细介绍请参见"安全配置指导"中的"PKI".
保证数据的完整性:消息传输过程中使用MAC(MessageAuthenticationCode,消息验证码)来检验消息的完整性.
MAC算法在密钥的参与下,将任意长度的原始数据转换为固定长度的数据,原始数据的任何变化都会导致计算出的固定长度数据发生变化.
如图1-1所示,利用MAC算法验证消息完整性的过程为:a.
发送者在密钥的参与下,利用MAC算法计算出消息的MAC值,并将其加在消息之后发送给接收者.
b.
接收者利用同样的密钥和MAC算法计算出消息的MAC值,并与接收到的MAC值比较.
c.
如果二者相同,则接收者认为报文没有被篡改;否则,认为报文在传输过程中被篡改,接收者将丢弃该报文.
图1-1MAC算法示意图1.
1.
2SSL协议结构如图1-2所示,SSL协议可以分为两层:下层为SSL记录协议(SSLRecordProtocol);上层为SSL握手协议(SSLHandshakeProtocol)、SSL密码变化协议(SSLChangeCipherSpecProtocol)和SSL告警协议(SSLAlertProtocol).
密钥Message发送者Message发送给接收者MAC密钥接收者比较Message计算MAC计算MACMACMAC1-2图1-2SSL协议栈SSL记录协议:主要负责对上层的数据进行分块、计算并添加MAC、加密,最后把加密后的记录块传输给对方.
SSL握手协议:用来协商通信过程中使用的加密套件(数据加密算法、密钥交换算法和MAC算法等),实现服务器和客户端的身份验证,并在服务器和客户端之间安全地交换密钥.
客户端和服务器通过握手协议建立会话.
一个会话包含一组参数,主要有会话ID、对方的数字证书、加密套件及主密钥.
SSL密码变化协议:客户端和服务器端通过密码变化协议通知对端,随后的报文都将使用新协商的加密套件和密钥进行保护和传输.
SSL告警协议:用来向对端报告告警信息,以便对端进行相应的处理.
告警消息中包含告警的严重级别和描述.
1.
2SSL配置任务简介表1-1SSL配置任务简介配置任务说明详细配置配置SSL服务器端策略请在SSL服务器端进行本配置1.
3配置SSL客户端策略请在SSL客户端进行本配置1.
41.
3配置SSL服务器端策略SSL服务器端策略是服务器启动时使用的SSL参数.
只有与HTTPS等应用关联后,SSL服务器端策略才能生效.
表1-2配置SSL服务器端策略操作命令说明进入系统视图system-view-创建SSL服务器端策略,并进入SSL服务器端策略视图sslserver-policypolicy-name缺省情况下,设备上不存在任何SSL服务器端策略(可选)配置SSL服务器端策略所使用的PKI域pki-domaindomain-name缺省情况下,没有指定SSL服务器端策略所使用的PKI域如果客户端需要对服务器端进行基于数字证书的身份验证,则必须在SSL服务器端使用本命令指定PKI域,并在该PKI域内为SSL服务器端申请本地数字证书PKI域的创建及配置方法,请参见"安全配置指导"中的"PKI"1-3操作命令说明配置SSL服务器端策略支持的加密套件ciphersuite{dhe_rsa_aes_128_cbc_sha|dhe_rsa_aes_256_cbc_sha|exp_rsa_des_cbc_sha|exp_rsa_rc2_md5|exp_rsa_rc4_md5|rsa_3des_ede_cbc_sha|rsa_aes_128_cbc_sha|rsa_aes_256_cbc_sha|rsa_des_cbc_sha|rsa_rc4_128_md5|rsa_rc4_128_sha}*缺省情况下,SSL服务器端策略支持所有的加密套件配置SSL服务器上可以缓存的最大会话数目sessioncachesizesize缺省情况下,SSL服务器上可以缓存的最大会话数目为500个配置SSL服务器端要求对SSL客户端进行基于数字证书的身份验证client-verifyenable缺省情况下,SSL服务器端不要求对SSL客户端进行基于数字证书的身份验证目前,SSL协议版本主要有SSL2.
0、SSL3.
0和TLS1.
0(TLS1.
0对应SSL协议的版本号为3.
1).
设备作为SSL服务器时,可以与SSL3.
0和TLS1.
0版本的SSL客户端通信,还可以识别同时兼容SSL2.
0和SSL3.
0/TLS1.
0版本的SSL客户端发送的报文,并通知该客户端采用SSL3.
0/TLS1.
0版本与SSL服务器通信.
1.
4配置SSL客户端策略SSL客户端策略是客户端连接SSL服务器时使用的参数.
只有与应用层协议,如DDNS(DynamicDomainNameSystem,动态域名系统),关联后,SSL客户端策略才能生效.
表1-3配置SSL客户端策略配置任务命令说明进入系统视图system-view-创建SSL客户端策略,并进入SSL客户端策略视图sslclient-policypolicy-name缺省情况下,设备上不存在任何SSL客户端策略(可选)配置SSL客户端策略所使用的PKI域pki-domaindomain-name缺省情况下,没有指定SSL客户端策略所使用的PKI域如果服务器端需要对客户端进行基于数字证书的身份验证,则必须在SSL客户端使用本命令指定PKI域,并在该PKI域内为SSL客户端申请本地数字证书PKI域的创建及配置方法,请参见"安全配置指导"中的"PKI"配置SSL客户端策略支持的加密套件prefer-cipher{dhe_rsa_aes_128_cbc_sha|dhe_rsa_aes_256_cbc_sha|exp_rsa_des_cbc_sha|exp_rsa_rc2_md5|exp_rsa_rc4_md5|rsa_3des_ede_cbc_sha|rsa_aes_128_cbc_sha|rsa_aes_256_cbc_sha|rsa_des_cbc_sha|rsa_rc4_128_md5|rsa_rc4_128_sha}缺省情况下,SSL客户端策略支持的加密套件为rsa_rc4_128_md5配置SSL客户端策略使用的SSL协议版本version{ssl3.
0|tls1.
0}缺省情况下,SSL客户端策略使用的SSL协议版本为TLS1.
01-4配置任务命令说明配置客户端需要对服务器端进行基于数字证书的身份验证server-verifyenable缺省情况下,SSL客户端需要对SSL服务器端进行基于数字证书的身份验证1.
5SSL显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后SSL的运行情况,通过查看显示信息验证配置的效果.
表1-4SSL显示和维护操作命令显示SSL服务器端策略的信息displaysslserver-policy[policy-name]显示SSL客户端策略的信息displaysslclient-policy[policy-name]

BlueHost 周年庆典 - 美国/香港虚拟主机 美国SSD VPS低至月32元

我们对于BlueHost主机商还是比较熟悉的,早年我们还是全民使用虚拟主机的时候,大部分的外贸主机都会用到BlueHost无限虚拟主机方案,那时候他们商家只有一款虚拟主机方案。目前,商家国际款和国内款是有差异营销的,BlueHost国内有提供香港、美国、印度和欧洲机房。包括有提供虚拟主机、VPS和独立服务器。现在,BlueHost 商家周年活动,全场五折优惠。我们看看这次的活动有哪些值得选择的。 ...

优林70/月,西南高防地区最低70/月

优林怎么样?优林好不好?优林 是一家国人VPS主机商,成立于2016年,主营国内外服务器产品。云服务器基于hyper-v和kvm虚拟架构,国内速度还不错。今天优林给我们带来促销的是国内西南地区高防云服务器!全部是独享带宽!续费同价!官方网站:https://www.idc857.com​地区CPU内存硬盘流量带宽防御价格购买地址德阳高防4核4g50G无限流量10M100G70元/月点击购买德阳高防...

hostodo:美国大流量VPS,低至$3,8T流量/月-1.5G内存/1核/25gNVMe/拉斯维加斯+迈阿密

hostodo从2014年年底运作至今一直都是走低价促销侧率运作VPS,在市场上一直都是那种不温不火的品牌知名度,好在坚持了7年都还运作得好好的,站长觉得hostodo还是值得大家在买VPS的时候作为一个候选考虑项的。当前,hostodo有拉斯维加斯和迈阿密两个数据中心的VPS在促销,专门列出了2款VPS给8T流量/月,基于KVM虚拟+NVMe整列,年付送DirectAdmin授权(发ticket...

ssl协议为你推荐
网站联盟百度网盟是什么,怎么加入iphone越狱后怎么恢复苹果手机越狱之后能恢复原来吗?godaddy美国GODADDY 域名支持域名别名解析吗?xp系统停止服务XP系统为什么要停止服务?网页打开很慢为什么我打开浏览器的时候,网页打开的很慢?发邮件怎么发怎样发送邮件微信怎么看聊天记录怎样才能调取微信聊天记录cisco防火墙juniper防火墙和cisco防火墙有什么区别263企业邮箱设置苹果5s一键设置263企业邮箱怎样申请支付宝怎么申请支付宝
免费国内空间 免费linux主机 vps虚拟服务器 什么是域名解析 naning9韩国官网 idc评测 免费名片模板 12u机柜尺寸 申请空间 华为4核 193邮箱 腾讯云分析 空间论坛 七夕快乐英文 umax120 免费dns解析 怎么建立邮箱 四川电信商城 空间登陆首页 中国电信测速器 更多