配置ssl协议
ssl协议 时间:2021-02-24 阅读:(
)
i目录1SSL1-11.
1SSL简介·1-11.
1.
1SSL安全机制1-11.
1.
2SSL协议结构1-21.
1.
3SSL协议版本1-21.
2SSL配置限制和指导·1-21.
3SSL配置任务简介·1-21.
3.
1SSL服务器端配置任务简介1-21.
3.
2SSL客户端配置任务简介1-31.
4配置SSL服务器端策略1-31.
5配置SSL客户端策略·1-41.
6关闭SSL3.
0版本1-51.
7配置SSL服务器端关闭SSL重协商1-51.
8SSL显示和维护·1-51-11SSL1.
1SSL简介SSL(SecureSocketsLayer,安全套接字层)是一个安全协议,为基于TCP的应用层协议(如HTTP)提供安全连接.
SSL协议广泛应用于电子商务、网上银行等领域,为应用层数据的传输提供安全性保证.
1.
1.
1SSL安全机制SSL提供的安全连接可以实现如下功能:保证数据传输的机密性:利用对称密钥算法对传输的数据进行加密,并利用密钥交换算法,如RSA(RivestShamirandAdleman),加密传输对称密钥算法中使用的密钥.
对称密钥算法、非对称密钥算法RSA的详细介绍请参见"安全配置指导"中的"公钥管理".
验证数据源的身份:基于数字证书利用数字签名方法对SSL服务器和SSL客户端进行身份验证.
SSL服务器和SSL客户端通过PKI(PublicKeyInfrastructure,公钥基础设施)提供的机制获取数字证书.
PKI及数字证书的详细介绍请参见"安全配置指导"中的"PKI".
保证数据的完整性:消息传输过程中使用MAC(MessageAuthenticationCode,消息验证码)来检验消息的完整性.
MAC算法在密钥的参与下,将任意长度的原始数据转换为固定长度的数据,原始数据的任何变化都会导致计算出的固定长度数据发生变化.
如图1-1所示,利用MAC算法验证消息完整性的过程为:a.
发送者在密钥的参与下,利用MAC算法计算出消息的MAC值,并将其加在消息之后发送给接收者.
b.
接收者利用同样的密钥和MAC算法计算出消息的MAC值,并与接收到的MAC值比较.
c.
如果二者相同,则接收者认为报文没有被篡改;否则,认为报文在传输过程中被篡改,接收者将丢弃该报文.
图1-1MAC算法示意图密钥Message发送者Message发送给接收者MAC密钥接收者比较Message计算MAC计算MACMACMAC1-21.
1.
2SSL协议结构如图1-2所示,SSL协议可以分为两层:下层为SSL记录协议(SSLRecordProtocol);上层为SSL握手协议(SSLHandshakeProtocol)、SSL密码变化协议(SSLChangeCipherSpecProtocol)和SSL告警协议(SSLAlertProtocol).
图1-2SSL协议栈SSL记录协议:主要负责对上层的数据进行分块、计算并添加MAC、加密,最后把加密后的记录块传输给对方.
SSL握手协议:用来协商通信过程中使用的加密套件(数据加密算法、密钥交换算法和MAC算法等),实现服务器和客户端的身份验证,并在服务器和客户端之间安全地交换密钥.
客户端和服务器通过握手协议建立会话.
一个会话包含一组参数,主要有会话ID、对方的数字证书、加密套件及主密钥.
SSL密码变化协议:客户端和服务器端通过密码变化协议通知对端,随后的报文都将使用新协商的加密套件和密钥进行保护和传输.
SSL告警协议:用来向对端报告告警信息,以便对端进行相应的处理.
告警消息中包含告警的严重级别和描述.
1.
1.
3SSL协议版本目前,SSL协议版本主要有SSL2.
0、SSL3.
0和TLS1.
0(TLS1.
0对应SSL协议的版本号为3.
1).
由于SSL3.
0版本存在一些已知的安全漏洞,当设备对系统安全性有较高要求时,可以配置SSL协议版本为TLS1.
0,并通过命令行关闭SSL3.
0版本.
1.
2SSL配置限制和指导设备作为SSL服务器时,可以与SSL3.
0和TLS1.
0版本的SSL客户端通信,还可以识别同时兼容SSL2.
0和SSL3.
0/TLS1.
0版本的SSL客户端发送的报文,并通知该客户端采用SSL3.
0/TLS1.
0版本与SSL服务器通信.
1.
3SSL配置任务简介1.
3.
1SSL服务器端配置任务简介SSL服务器端配置任务如下:配置SSL服务器端策略(可选)关闭SSL3.
0版本1-3(可选)配置SSL服务器端关闭SSL重协商1.
3.
2SSL客户端配置任务简介SSL客户端配置任务如下:配置SSL客户端策略(可选)关闭SSL3.
0版本1.
4配置SSL服务器端策略1.
功能简介SSL服务器端策略是设备作为服务器时使用的SSL参数.
只有与HTTPS(HypertextTransferProtocolSecure,超文本传输协议的安全版本)等应用关联后,SSL服务器端策略才能生效.
2.
配置步骤(1)进入系统视图.
system-view(2)创建SSL服务器端策略,并进入SSL服务器端策略视图.
sslserver-policypolicy-name(3)配置SSL服务器端策略所使用的PKI域.
pki-domaindomain-name缺省情况下,未指定SSL服务器端策略所使用的PKI域.
如果客户端需要对服务器端进行基于数字证书的身份验证,则必须在SSL服务器端指定PKI域,并在该PKI域内为SSL服务器端申请本地数字证书.
PKI域的创建及配置方法,请参见"安全配置指导"中的"PKI".
(4)配置SSL服务器端策略支持的加密套件.
ciphersuite{dhe_rsa_aes_128_cbc_sha|dhe_rsa_aes_256_cbc_sha|exp_rsa_des_cbc_sha|exp_rsa_rc2_md5|exp_rsa_rc4_md5|rsa_3des_ede_cbc_sha|rsa_aes_128_cbc_sha|rsa_aes_256_cbc_sha|rsa_des_cbc_sha|rsa_rc4_128_md5|rsa_rc4_128_sha}*缺省情况下,SSL服务器端策略支持所有的加密套件.
(5)(可选)配置SSL服务器上缓存的最大会话数目和SSL会话缓存的超时时间.
session{cachesizesize|timeouttime}*缺省情况下,SSL服务器上缓存的最大会话数目为500个,SSL会话缓存的超时时间为3600秒.
(6)配置SSL服务器端对SSL客户端的身份验证方案.
client-verify{enable|optional}缺省情况下,SSL服务器端不要求对SSL客户端进行基于数字证书的身份验证.
SSL服务器端在基于数字证书对SSL客户端进行身份验证时,除了对SSL客户端发送的证书链进行验证,还要检查证书链中的除根CA证书外的每个证书是否均未被吊销.
1-41.
5配置SSL客户端策略1.
功能简介SSL客户端策略是客户端连接SSL服务器时使用的参数.
只有与应用层协议,如FTP(FileTransferProtocol,文件传输协议),关联后,SSL客户端策略才能生效.
FTP的详细配置请参见"基础配置指导"中的"FTP".
2.
配置限制和指导在SSL客户端策略视图下,用户可以配置SSL协议版本为TLS1.
0或SSL3.
0.
在对安全性要求较高的环境下,建议配置SSL协议版本为TLS1.
0,并在系统视图下关闭SSL3.
0版本.
如果配置SSL协议版本为TLS1.
0,并在系统视图下关闭SSL3.
0版本,则SSL客户端仅使用TLS1.
0版本的协议连接服务器.
如果配置SSL协议版本为TLS1.
0,未在系统视图下关闭SSL3.
0版本,则SSL客户端首先尝试使用TLS1.
0版本的协议连接服务器,若握手失败,则切换为SSL3.
0版本的协议继续尝试连接.
如果配置SSL协议版本为SSL3.
0,但在系统视图下关闭SSL3.
0版本,则SSL客户端仍可使用SSL3.
0版本的协议连接服务器.
3.
配置步骤(1)进入系统视图.
system-view(2)创建SSL客户端策略,并进入SSL客户端策略视图.
sslclient-policypolicy-name(3)配置SSL客户端策略所使用的PKI域.
pki-domaindomain-name缺省情况下,未指定SSL客户端策略所使用的PKI域.
如果服务器端需要对客户端进行基于数字证书的身份验证,则必须在SSL客户端指定PKI域,并在该PKI域内为SSL客户端申请本地数字证书.
PKI域的创建及配置方法,请参见"安全配置指导"中的"PKI".
(4)配置SSL客户端策略支持的加密套件.
prefer-cipher{dhe_rsa_aes_128_cbc_sha|dhe_rsa_aes_256_cbc_sha|exp_rsa_des_cbc_sha|exp_rsa_rc2_md5|exp_rsa_rc4_md5|rsa_3des_ede_cbc_sha|rsa_aes_128_cbc_sha|rsa_aes_256_cbc_sha|rsa_des_cbc_sha|rsa_rc4_128_md5|rsa_rc4_128_sha}缺省情况下,SSL客户端策略支持的加密套件为rsa_rc4_128_md5.
(5)配置SSL客户端策略使用的SSL协议版本.
version{ssl3.
0|tls1.
0}缺省情况下,SSL客户端策略使用的SSL协议版本为TLS1.
0.
(6)配置客户端需要对服务器端进行基于数字证书的身份验证.
server-verifyenable缺省情况下,SSL客户端需要对SSL服务器端进行基于数字证书的身份验证.
1-51.
6关闭SSL3.
0版本1.
功能简介由于SSL3.
0版本存在一些已知的安全漏洞,当设备对系统安全性有较高要求时,建议使用TLS1.
0版本.
为了使用TLS1.
0版本:对于SSL客户端,需要在SSL客户端策略中配置SSL协议版本为TLS1.
0,同时在系统视图下关闭SSL3.
0版本.
对于SSL服务器,需要通过本配置关闭SSL3.
0版本.
如果在系统视图下关闭了SSL3.
0版本,SSL服务器端只能使用TLS1.
0版本,否则SSL服务器端自动采用对端设备采用的版本.
2.
配置限制和指导如果对端设备仅支持SSL3.
0版本,则为保持互通,本端设备不应关闭SSL3.
0版本,但为了提高安全性,建议对端设备尽快升级,以支持TLS1.
0版本.
3.
配置步骤(1)进入系统视图.
system-view(2)关闭SSL3.
0版本.
sslversionssl3.
0disable缺省情况下,允许使用SSL3.
0版本.
1.
7配置SSL服务器端关闭SSL重协商1.
功能简介关闭SSL重协商是指,不允许复用已有的SSL会话进行SSL快速协商,每次SSL协商必须进行完整的SSL握手过程.
关闭SSL重协商会导致系统付出更多的计算开销,但可以避免潜在的风险,安全性更高.
2.
配置限制和指导通常情况下,不建议关闭SSL重协商.
本命令仅用于用户明确要求关闭重协商的场景.
3.
配置步骤(1)进入系统视图.
system-view(2)配置SSL服务器端关闭SSL重协商.
sslrenegotiationdisable缺省情况下,允许SSL重协商.
1.
8SSL显示和维护在完成上述配置后,在任意视图下执行display命令可以显示配置后SSL的运行情况,通过查看显示信息验证配置的效果.
1-6表1-1SSL显示和维护操作命令显示SSL服务器端策略的信息displaysslserver-policy[policy-name]显示SSL客户端策略的信息displaysslclient-policy[policy-name]
官方网站:点击访问亚洲云官网618活动方案:618特价活动(6.18-6.30)全站首月活动月底结束!地区:浙江高防BGPCPU:至强铂金8270主频7 默频3.61 睿频4.0核心:8核(最高支持64核)内存:8G(最高支持128G)DDR4 3200硬盘:40G系统盘+80G数据盘带宽:上行:20Mbps/下行:1000Mbps防御:100G(可加至300G)防火墙:提供自助 天机盾+金盾 管...
raksmart作为一家老牌美国机房总是被很多人问到raksmart香港服务器怎么样、raksmart好不好?其实,这也好理解。香港服务器离大陆最近、理论上是不需要备案的服务器里面速度最快的,被过多关注也就在情理之中了。本着为大家趟雷就是本站的光荣这一理念,拿了一台raksmart的香港独立服务器,简单做个测评,分享下实测的数据,仅供参考!官方网站:https://www.raksmart.com...
官方网站:点击访问创梦网络宿迁BGP高防活动方案:机房CPU内存硬盘带宽IP防护流量原价活动价开通方式宿迁BGP4vCPU4G40G+50G20Mbps1个100G不限流量299元/月 209.3元/月点击自助购买成都电信优化线路8vCPU8G40G+50G20Mbps1个100G不限流量399元/月 279.3元/月点击自助购买成都电信优化线路8vCPU16G40G+50G2...
ssl协议为你推荐
windows优化大师怎么用如何用Windows优化大师??站长故事爱迪生的故事无线路由器限速设置无线路由器能设置限速吗?或者说那个牌子的能。照片转手绘如何把真人图片用photoshop做成手绘图片淘宝店推广淘宝店铺推广有哪些渠道?网易公开课怎么下载如何将网易公开课下载到电脑上?免费免费建站最好的免费建站云挂机云挂机每天2+元你提了吗?网络广告投放怎样在网络上进行广告的投放?怎么上传音乐如何上传音乐
网站空间申请 cn域名 域名大全 高防服务器租用 到期域名查询 什么是二级域名 BWH 服务器cpu性能排行 ibrs 三拼域名 qq数据库下载 速度云 电信托管 视频服务器是什么 太原联通测速 美国凤凰城 服务器论坛 国外免费网盘 美国主机侦探 windowsserver2012 更多