f5bigipssl加速全攻略(編輯修改稿)
2025-06-25 22:27 本頁面
【文章內(nèi)容簡介】 如圖：HTTPS流量到達BIGIP上的VS，由VS處理之后轉(zhuǎn)換成HTTP流量直接發(fā)往服務(wù)器，服務(wù)器處理完成后返回給BIGIP，然后由BIGIP加密后返回給用戶。外掛SSL加速器的結(jié)構(gòu)：通常情況下，考慮到系統(tǒng)的可擴展性，可采用獨立的設(shè)備分別實現(xiàn)服務(wù)器的負載均衡和SSL加速，同時負責服務(wù)器負載均衡的BIGIP LTM也實現(xiàn)了SSL加速用BIGIP LTM的負載均衡。建議的系統(tǒng)結(jié)構(gòu)圖如下：在外掛方式下，通常加速器直接連接在BIGIP上，這樣可以節(jié)省核心交換機的端口，減少數(shù)據(jù)包的往返傳輸。根據(jù)實際情況的不同，也可將加速器直接連接在主干交換機上。但無論如何連接，實際的數(shù)據(jù)流程如下：上下的兩臺BIGIP LTM實際為同一臺設(shè)備。采用外掛方式下，HTTPS流量首先到達實現(xiàn)負載均衡功能的BIGIP LTM，然后由BIGIP LTM 分配到多臺用于SSL加速的ACC3400或BIGIP LTM上，在SSL加速器處理完成后，將HTTP流量返回到負責負載均衡的BIGIP LTM，并由BIGIP LTM發(fā)往后端的服務(wù)器，再后端服務(wù)器處理處理完成后原路返回。4SSL的認證模式單向認證模式在采用單向認證時，主要是客戶端驗證服務(wù)器端是否合法。在建立SSL握手的時候，服務(wù)器將其證書傳送給客戶端進行驗證。客戶端主要驗證有三個方面：服務(wù)器證書是否在有效時間內(nèi)即服務(wù)器證書的有效時間與當前時間相比較，如果過期，則認為該證書已經(jīng)失效。服務(wù)器證書中的域名是否與用戶訪問的域名一致即客戶端訪問的域名，如在瀏覽器中填入:。服務(wù)器的證書中的域名必須與此域名一致。服務(wù)器證書是否由瀏覽器認可的根證發(fā)放在主流的瀏覽器軟件包括IE和Mozila的版本中，均已經(jīng)內(nèi)置了全球主流的CA系統(tǒng)的根證書。用戶也可以自行安裝可信任的根證書，比如CFCA、信安以及各地CA中心的自建系統(tǒng)的根證書。瀏覽器將使用內(nèi)置的根證書對服務(wù)器返回的服務(wù)器證書進行驗證。如果驗證全部通過，則SSL握手成功，瀏覽器將直接發(fā)送HTTP請求到服務(wù)器請求內(nèi)容。如果任何一項沒有通過，瀏覽器則會彈出錯誤提示，由用戶選擇是否繼續(xù)進行。該提示如下：其中，黃色帶驚嘆號的標志為驗證失敗。綠色標志為驗證成功。單向認證的流程如下：雙向認證模式 在雙向認證模式下，除客戶端驗證服務(wù)器端是否合法外，服務(wù)器端也需要驗證客戶端是否為合法用戶。服務(wù)器端需要安裝頒發(fā)客戶端證書的CA的根證書和中間證書，要求客戶端提交客戶端證書，并通過已經(jīng)安裝的根證書和中間證書對客戶端證書進行逐級驗證。以確定客戶端是否為合法用戶。當客戶端連接一個雙向認證模式的VS時，除了客戶端驗證服務(wù)器端是否安全外，還需要進行以下步驟：客戶端彈出證書選擇框，該證書選擇框內(nèi)列出服務(wù)器端，也就是BIGIP上所支持的CA所發(fā)布的證書?？蛻舳诉x擇證書然后提交。BIGIP驗證客戶端提交的證書是否由所信任的CA所發(fā)布。如果配置了證書吊銷列表，BIGIP將根據(jù)客戶端證書中提供的CRL發(fā)布點，驗證客戶端提交的證書是否已經(jīng)被作廢。如果作廢或者證書已經(jīng)過期，則BIGIP將拒絕該用戶登錄。雙向認證的流程如下：現(xiàn)在國內(nèi)的主流CA系統(tǒng)為CFCA和信安的證書系統(tǒng)。下面就針對這兩種證書體系進行分別介紹。CFCA系統(tǒng)CFCA為銀行業(yè)的官方證書機構(gòu)，在國內(nèi)有較多的用戶。CFCA的證書系統(tǒng)中，分為Entrust CA和新的國產(chǎn)CA兩個系統(tǒng)。其中Entrust CA為3級結(jié)構(gòu)，其結(jié)構(gòu)如下：國產(chǎn)CA為兩級結(jié)構(gòu)，結(jié)構(gòu)如下：在對CFCA Client證書進行驗證的時候，BIGIP需要進行多級認證。BIGIP現(xiàn)支持的最大多級認證深度為9級。以Entrust CA三級證書為例，其驗證流程如下：驗證Clientl Certificate是否由PCA認可驗證PCA是否由OCA認可l驗證RCA是否是自簽發(fā)證書并存放在BIGIP的可信任證書列表（Trustedl Authorities）中。如果三級認證均通過，則驗證該客戶端為合法客戶。信安系統(tǒng)信安的系統(tǒng)為單級證書體系，在各大銀行通常是自建CA。所以通常情況下根證書均為銀行特有，在配置時需要向客戶配合提供根證書。在配置信安系統(tǒng)的時候，只需要將提供的根證書配置為Trusted Authorities即可。注意根證書必須為PEM格式，經(jīng)常可能能拿到手的證書為DER格式。5基本功能及配置證書的導入服務(wù)器證書的生成和導入如果由BIGIP來生成服務(wù)器證書l需要通過以下步驟。選擇Local Traffic〉SSL Certificates〉Create注意Common Name一定要設(shè)置為準備用來使用的域名。點擊Finish繼續(xù)：點擊Download ，然后把csr文件提交給CA，就可以得到相應(yīng)的證書了。完成后，在SSL Ceritificates 的頁面中能看到一個只有key的條目：在從CA得到證書后，導入到相應(yīng)的名字即可。如果已經(jīng)具備服務(wù)器證書和私鑰l需要通過以下步驟進行導入選擇Local TrafficSSL Certificates Import選擇導入的項目通常先導入證書：在導入證書成功后，再點擊導入的證書然后導入相應(yīng)的key文件。根證及中間證書的導入對于單級證書模式，將PEM格式的根證直接導入即可：對于多級證書模式，需要將在整個鏈上的多個證書進行Boundle。Boundle的方式為將多個證書粘貼拷貝到一起，然后全部導入：BEGIN CERTIFICATEMIICvDCCAiWgAwIBAgIEPPx1qzANBgkqhkiG9w0BAQUFADAgMQswCQYDVGEwJDTjERMA8GA1UEChMIQ0ZDQSBSQ0EwHhcNMDIwNjA0MDczOTIwWhcNMjIwNjA0MDgwOTIwWjAgMQswCQYDVGEwJDTjERMA8GA1UEChMIQ0ZDQSBSQ0EwgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJAoGBALjj9EbWFRz6rj4a42KpSB+jPqoHnkjmr3S69P4Aicz9r6ZfFat1SvjJAG4XjB69ejGczrP2Acp3JVyH3jDMXSa4EfEfw/Erom1ILaWyjKTl/Cs78oJMjGyiZT5CJ14gH6o9rVYMEr2FjH6a7SJKJ/P/YBiQzNh6h97gynIyJ5ChAgMBAAGjggEBMIH+MBEGCWCGSAGG+EIBAEAwIABzBCBgNVHR8EOzA5MDegNaAzpDEwLzELMAkGA1UEBhMCQ04xETAPBgNVBAoTCENGQ0EgUkNBMQ0wCwYDVDEwRDUkwxMCsGA1UdEAQkMCKADzIwMDIwNjA0MDczOTIwWoEPMjAyMjA2MDQwODA5MjBa
試題試卷相關(guān)推薦
鄂ICP備17016276號-1