如何创建和配置服务器证书进行SSL Relay

对于申请和安装SSL证书的话可以直接在安信证书选购SSL证书。安信证书支持SSL证书申请和安装一站式服务的，品牌始终坚持与全球知名数字证书颁发机构（CA）深度合作，为国内政企单位和个人提供安全可靠的网络安全产品及服务，提供的核心产品包括可实现身份认证和数据加密功能的服务器证书、代码签名证书、电子邮件证书和文档签名证书等。

1.1 配置服务器证书第一步：执行“开始à程序à管理工具àInternet服务管理器”，打开服务管理器。第二步：右键单击需要采用SSL协议的WEB站点，选择“属性”，在Web站点选项视图中填写SSL端口为：443。(也可以根据需要修改端口)如图第三步：选择“目录安全性”选项，第四步：选择服务器证书，单击下一步会出现设置IIS服务器证书向导，第五步：选择“创建一个新证书”，然后跟随向导填写相关内容，生成证书申请书。用此申请书到CA签发服务器证书。注意在CA填写的证书申请信息一定要同此处填写的证书申请信息相同。第六步：当证书签发完毕后，再次打开向导，现在里边的选项已经不同了，跟随向导将证书导入，关于每一步向导中都备有详细说明，这里不做赘述。第七步：现在，你的服务器已经有了属于自己的证书，我们可以开始配置SSL选项。在“目录安全性”选项视图下的“安全通信”中选择“编辑”选项。如图第八步：在此选择“申请安全通道（SSL）”项，就已经建立起SSL通道，在“客户证书”项下可以选择验证客户证书的具体方式，“忽略客户证书”是不要求验证客户证书，“接收客户证书”是用证书验证拥有证书的客户，没有证书的客户按其他方法来验证。“申请客户证书”是只与拥有证书的客户进行通信。我们可以根据需要来进行选择。对于双向验证要求选择“申请客户证书”。第九步：在服务端导入CA根证书在IIS服务器上，双击打开CA的根证书（必须是签发IIS服务器证书的CA）。CA的根证书可以从CA的网站上下载单击安装证书，出现安装证书向导单击下一步选择证书存储区域，选择“将所有证书放入下列存储区域”，单击“浏览”出现选择存储区域对话框，选中“显示物理存储区”后，选择“受信任的根证书颁发机构->本地计算机”，单击确定。显示我们刚刚选择的路径，单击下一步，显示我们刚刚做过的设置单击完成按钮，导入CA根证书完成。第十步：取消IIS对CRL列表信息的校验在公安PKI/PMI体系中，对于证书有效性的验证在应用程序中进行。故需要取消IIS自身对CRL的检验。在控制台下进入C：\Inetpub\AdminScripts目录（这个目录在安装完IIS后会自动生成）执行如下命令，取消IIS对CRL的校验：cscript adsutil.vbs set w3svc/certcheckmode 1

1.

安装http程序,配置站点

# yum install -y httpd

# vim/etc/httpd/conf/httpd.conf

2.

为服务器申请数字证书；

(1)CA服务器端：创建私有证书颁发机构

~]# cd /etc/pki/CA

~]#(umask 077openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096)

~]#openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out/etc/pki/CA/cacert.pem -days 3655

~]#mkdir -pv /etc/pki/CA/{certs,crl,newcerts}

~]#touch /etc/pki/CA/{serial,index.txt}

~]#echo 01 >/etc/pki/CA/serial

(2)https服务器端：发起创建证书请求

~]# mkdir /etc/httpd/ssl

~]# cd /etc/httpd/ssl

~]#(umask 077openssl genrsa -out /etc/httpd/ssl/https.key 2048)

~]#openssl req -new -key /etc/httpd/ssl/https.key -out /etc/httpd/ssl/https.csr -days 365

(3)将https服务器的请求生成文件发送给CA进行签署操作

~]# scp … …/tmp

~]# openssl ca -in/tmp/https.csr -out /etc/pki/CA/certs/https.crt -days 365

(4)将签署后的证书返回给https服务器即可使用

~]# scp … …

3.

配置httpd支持使用ssl，及使用的证书；

(1)安装并查看mod_ssl模块

[root@localhost~]# yum -y install mod_ssl

[root@localhost~]# rpm -ql mod_ssl

[root@localhost~]# httpd -M | grep ssl

4.

修改配置文件：/etc/httpd/conf.d/ssl.conf

[root@localhost ~]# vim /etc/httpd/conf.d/ssl.conf修改部分配置

DocumentRoot

定义默认虚拟主机的文档页面

ServerName

定义默认虚拟主机的服务名

SSLCertificateFile

定义证书文件路径

SSLCertificateKeyFile

定义私钥文件

注释：

1)/etc/httpd/conf.d/ssl.conf中定义启动mod_ssl.so模块，且定义监听端口

5.<VirtualHost _default_:443>定义默认虚拟主机，当根据FQDN请求有多个站点的主机，均未找到时候会返回默认主机定义的页面。

6.

测试基于https访问相应的主机；

# openssls_client [-connect host:port] [-cert filename] [-CApath directory] [-CAfilefilename]

openssl s_client-connect172.16.249.209:443

---