一般而言,SSL自签证书应用场景受限较大,尤其是面对不特定人群时——比如发布一个可公开访问的HTTPS站点。这是因为证书的真实性由CA来验证(自签证书由自建CA保证),只有客户端认可CA的权威性,CA对证书的验证行为才会被客户端接受。

但如果我们是针对特定人群发布应用时,则可以让客户手动选择接受这个CA,比如内网站点,比如涉及到加密的一些应用。

上图就是一个很典型的SSL证书错误的场景:CA无效。由于设备厂商的CA绝大多数情况下不被系统默认信任,所以客户端在访问设备时一定只会是这个结果。解决办法是:使用受客户端信任的CA签发的证书,或者直接让客户端信任这个证书的签发者(将ca证书导入到“受信任的根证书签发机构”。

类似的,还有IPSEC Mobile等用到证书认证的场景里也会要求客户端对CA进行信任。而某些软件,例如OpenVPN,则可以直接把CA自身的证书配置到客户端,由客户端软件读取作为配置文件之一的ca.crt来验证客户端证书client.crt + client.key。

如果内部有多个服务需要使用证书,为了保持统一,也为了方便管理,可以考虑使用自建CA对各个服务进行证书签发,并让每一个客户的电脑都信任这个自建CA。

比如,内网有IKEV2的ipsec mobile服务,有一台防火墙的web管理后台,有一台群晖,另外还迁移了一台openvpn服务器的ca和客户端证书到pfSense。这时,我们就可以按上文所描述的,用一台自建CA分别创建各自服务的证书并部署到对应服务上,然后让访客电脑导入这个CA证书即可(最后一步最难实现,但因为我们的服务均是面向特定访客,所以具备可操作性,否则只能向权威的公共CA申请或购买证书进行部署)。

1. 创建CA

pfSense默认自带了一个CA,也可以用自定义的属性手动创建一个CA,入口位于System -> Cert. Manager -> CAs

创建后,到CAs页面,导出对应CA的证书文件备用。

2. 签发证书并部署,用于pfSense管理后台https服务

签发后,回到System -> Advanced,选择刚刚签发的证书作为web管理后台使用的证书即可。

3. 签发证书用于pfSense IPSEC MOBILE服务

3.1 流程与上一小节相似,签发一张用于ipsec服务端认证(ipsec.xxxx.com)的服务器证书;

3.2 VPN -> IPSEC页面中,编辑ipsec mobile的P1,选择服务器证书为3.1小节,由自建ca签发的ipsec专用证书,保存即可。

* 关于如何配置ipsec mobile,可参考我之前写的教程。

4. 签发用于群晖网页https的证书

4.1 签发流程与上一节相似,签发一张用于192.168.0.2(群晖ip)的证书,并导出证书和密钥(独立https站点部署时,需要用到证书、key文件,并且CA需要被访客电脑信任);

4.2 登录到群晖管理后台,导航到控制面板 -> 安全性 -> 证书,点击“新增”按钮打开创建证书界面;

4.3 上传4.1步骤中的证书和密钥文件;

4.4 回到证书列表页面,点击“设置”按钮,设置“系统默认”证书为4.3步骤中上传的证书,此时群晖会自动重启web服务并应用新证书。

5. 从旧的openvpn服务器导入外部CA和客户端证书

5.1 复制旧服务器的ca.crt和ca.key,以及每一对客户端证书;
5.2 System -> Cert. Manager -> CAs页面,点击Add按钮;

5.3 在新页面选择Method为Import an existing Certificate Authority,即导入已有CA,并粘入旧服务器的ca公私钥(只导入ca公钥将得到一个外部CA,只可进行验证不可进行签发,只有同时导入私钥才能得到一个完整功能的内部CA);

5.4 与上一步操作一样,入口位于System -> Cert. Manager -> Certificates,也是导入公私钥的内容即可。

* 关于如何配置pfsense上的openvpn服务,也可参考我之前发过的相关教程。

最后,在OPENVPN服务连接的编辑界面指定CA,并选择相应服务器证书,用户既可使用导入的客户端证书,也可以从CA重新签发的证书。

6. 访客电脑导入证书:

双击ca证书,点击“安装证书”按钮,存储位置选择“本地计算机”的“受信任的根证书颁发机构”,然后一路下一步即可(openvpn客户端不需要将ca证书导入到系统受信任的根证书颁发机构区域,只需要在配置文件中指定文件的物理路径)。

分类: articles