f5bigipssl加速全攻略(參考版)
2025-06-01 22:27本頁面
【正文】 32 / 32。可以在23年內滿足該金融機構的擴展需求?？蛻舻玫降囊嫣幒偷浞缎猯該系統(tǒng)為國內第一個采用F5 BIGIP V9系列的SSL加速系統(tǒng)。其中兩臺BIGIP采用高可用性結構負責服務器負載均衡，另外外掛的兩臺BIGIP 6400負責SSL加速，兩臺BIGIP 6400 同時工作。解決方案簡介及示意拓撲l從業(yè)務的發(fā)展速度規(guī)劃，該機構需要在新的系統(tǒng)下能達到原系統(tǒng)性能的10倍以上，并且系統(tǒng)需要考慮到冗余和管理性的綜合要求，在系統(tǒng)中的設備數量盡量減少。典型應用案例7在安裝根證書后，就可以顯示出證書的正確信息了。問：為什么我在瀏覽器里查看我的證書，得到證書無效的信息，如下圖：l命令如下：openssl crl inform DER in outform PEM out 其中。l答：這種情況下，多半拿到的是DER格式的證書。l答：這是由于您的CA的根證書不在瀏覽器中的“受信任的證書頒發(fā)機構”列表中。問：客戶端證書體系和服務器證書必須是由一個CA發(fā)布嗎？l答：客戶端證書和服務器證書完全沒有關系。從另外一個角度講，每張證書都和每個域名所對應，所以不可能用一張證書去對應多個域名。也就是說在雙方進行握手連接時，服務器端，也就是BIGIP根本不可能知道用戶要訪問的域名，因為此時完全沒有HTTP請求發(fā)送。然后定義到不同的Pool中，實現Virtual Host功能。答：不能。問與答其他的處理與普通的單向或雙向處理相同。創(chuàng)建Rules綁定在Network VS上。創(chuàng)建一個Network VS，包含有所有的服務器地址，并使用相應的Client SSL Profile。創(chuàng)建一個Client SSL Profile包含通配符證書導入通配符證書以下是一個標準的通配符證書：透明SSL處理在透明SSL模式下，需要通配符證書支持，比如*.，均用此服務器證書可以驗證通過。CRLDP的處理l配置多個CRLDP Server，添加到同一個CRLDP Configuration中，BIGIP可以根據客戶端證書提供的CRL Distribution Point自動選擇相應的CRLDP Server來進行驗證?？蛻舳藦棾鲎C書選擇框處理l客戶端彈出證書選擇框是由Advertaise Certificate配置選項所決定，在此應當和Trusted Autorities選擇同樣的CA Boundle。并添加在Trusted Authorities中。通過HTTP redirect實現：lRule如下：when HTTP_REQUEST {HTTP::redirect }lRule如下：when HTTP_REQUEST {HTTP::respond 200 content htmlheadtitleApology Page/title/headbody抱歉，您訪問的頁面未經授權。指定出錯頁面處理對于出錯頁面的處理有兩種方式 Windows NT )Host: Connection: KeepAlivesubject: /CN=04350140n/OU=NET_CONN/O=F5/C=CNnot_valid_before: Feb 23 05:43:47 2005 GMTnot_valid_after: Feb 23 05:43:47 2007 GMT參考BIGIP reference Guide，我們可以添加更多的內容到HTTP Header中。Rules實例如下：when CLIENTSSL_CLIENTCERT {session add ssl [SSL::sessionid] [SSL::cert 0] }when HTTP_REQUEST {set id [SSL::sessionid]set cert [session lookup ssl $id]HTTP::header insert subject [X509::subject $cert]HTTP::header insert not_valid_before [X509::not_valid_before $cert]HTTP::header insert not_valid_after [X509::not_valid_after $cert]}該Rule運行后，在服務器端收到的HTTP請求如下：GET / HTTP/Accept: */*AcceptLanguage: zhAcceptEncoding: gzip, deflateUserAgent: Mozilla/ (patible。在BIGIP中，可以將證書中的任何字段添加到HTTP Header并傳遞到后臺服務器。 HTTP::redirect }}if { $the_uri starts_with / or $the_uri starts_with /eb } {允許指定的URI訪問允許，關閉其他的所有URI訪問l如果在吊銷列表中，則直接中斷客戶端連接。將CRLDP profile與VS關聯：在VS配置的authenticationl profile中選擇剛才創(chuàng)建的CRLDP Profile。創(chuàng)建一個CRLDP Profile：選擇一個CRLDP Configuration并配置一個authl rule，通常情況下均采用系統(tǒng)默認值。創(chuàng)建一個CRLDPl Confiruation：需要填入CRLDP的更新間隔時間，通常為30分鐘，即1800秒，并選擇一個或多個CRLDP Server。如果是信安系統(tǒng)，還需要選擇ReverseDN為Enable。CRLDP配置步驟為：CRLDP配置在國內現有系統(tǒng)中，多采用CRLDP方式進行客戶端吊銷證書驗證。配置時注意如果有中間證書，則一定要選擇根證書和中間證書的Boundle。 Require:客戶端必須提交證書，通常都采用這種方式lChain:如果服務器證書為多級證書體系，則將中間證書添加在這里。Certificate:服務器證書l單向認證方式單向認證模式下，需要配置的內容較少：Client SSL Profile的配置Client SSL Profile的配置，是應用SSL加速功能中最重要的一個環(huán)節(jié)。在處理多級證書和多CA時，通常會用到Boundle證書方式。Boundle的方式為將多個證書粘貼拷貝到一起，然后全部導入：BEGIN CERTIFICATEMIICvDCCAiWgAwIBAgIEPPx1qzANBgkqhkiG9w0BAQUFADAgMQswCQYDVGEwJDTjERMA8GA1UEChMIQ0ZDQSBSQ0EwHhcNMDIwNjA0MDczOTIwWhcNMjIwNjA0MDgwOTIwWjAgMQswCQYDVGEwJDTjERMA8GA1UEChMIQ0ZDQSBSQ
試題試卷相關推薦
鄂ICP備17016276號-1