實(shí)驗(yàn)2：基于CA的安全Web訪問(4學(xué)時(shí)).doc

天津理工大學(xué)實(shí)驗(yàn)報(bào)告學(xué)院(系)名稱:計(jì)算機(jī)與通信工程學(xué)院姓名呂帥霖學(xué)號(hào)20125872專業(yè)網(wǎng)絡(luò)工程班級(jí)1班實(shí)驗(yàn)題目實(shí)驗(yàn)2：基于CA的安全Web訪問課程名稱網(wǎng)絡(luò)安全課程代碼實(shí)驗(yàn)時(shí)間2015實(shí)驗(yàn)地點(diǎn)7-219批改意見成績(jī)教師簽字: 一、實(shí)驗(yàn)?zāi)康?掌握證書服務(wù)的安裝，理解證書的發(fā)放過程2掌握在Web服務(wù)器上配置SSL，使用HTTPS協(xié)議訪問網(wǎng)站以驗(yàn)證結(jié)果二、實(shí)驗(yàn)環(huán)境三臺(tái)PC 一臺(tái)交換機(jī)三、操作步驟（1）安裝證書服務(wù)CA輸入CA識(shí)別信息，此處可隨意取名。保證證書數(shù)據(jù)庫及日志信息的位置默認(rèn)值：開始安裝：在開始管理工具中單擊證書頒發(fā)機(jī)構(gòu)，打開證書頒發(fā)機(jī)構(gòu)：使用IIS管理器，觀察默認(rèn)網(wǎng)站下有certsrv等虛擬目錄。在虛擬目錄certsrv屬性-目錄安全性-身份驗(yàn)證和訪問控制-啟用匿名訪問，以便允許Internet來賓賬戶通過訪問此站點(diǎn)提交證書申請(qǐng)。（2）在Web服務(wù)器上配置WWW服務(wù)（真實(shí)機(jī)里已有IIS），如下圖所示：安裝完成后，打開并設(shè)置來賓用戶的訪問權(quán)限：配置網(wǎng)站，可通過客戶端IE瀏覽網(wǎng)站。（3）接下來為web網(wǎng)站申請(qǐng)證書，打開web服務(wù)器，屬性目錄安全性，選擇服務(wù)器證書：選擇新建證書：接著選擇下一步輸入名稱：輸入地理信息，單擊下一步：按提示完成certreq.txt證書申請(qǐng)文件。（4）web方式提交證書申請(qǐng)：打開IE瀏覽器， 1/certsrv(這是運(yùn)行證書服務(wù)的計(jì)算機(jī)的IP地址)選擇申請(qǐng)一個(gè)證書，下一步：選擇高級(jí)證書申請(qǐng)：在這里選擇的是用base64編碼：復(fù)制certreq.txt文件內(nèi)容到下拉列表框，提交。出現(xiàn)如下圖所示，證書掛起： （5）手工頒發(fā)證書：打開證書頒發(fā)機(jī)構(gòu)，可以查看到掛起的證書，右擊所有任務(wù)頒發(fā)證書：可以看到已經(jīng)頒發(fā)了的證書：（6）下載證書：打開IE瀏覽器， 1/certsrv(這是運(yùn)行證書服務(wù)的計(jì)算機(jī)的IP地址)，選擇查看掛起的證書申請(qǐng)的狀況：選擇保存的申請(qǐng)證書，選擇下載證書：下載證書到本地：（7）為WEB服務(wù)器安裝證書，打開web服務(wù)器，屬性-選擇目錄安全服務(wù)器證書：選擇處理掛起的請(qǐng)求并安裝證書：瀏覽到剛才下載到本地的證書：保持默認(rèn)端口443：查看證書：（8）下載ca證書到本地添加到信任的證書機(jī)構(gòu)：打開IE瀏覽器， 1/certsrv(這是運(yùn)行證書服務(wù)的計(jì)算機(jī)的IP地址)在這里選擇下載一個(gè)ca證書，證書鏈或CRL接下來下載ca證書到本地在運(yùn)行里輸入 mmc打開管理控制臺(tái)：選擇添加/刪除管理單元選擇添加選擇證書：選擇計(jì)算機(jī)帳戶：保持默認(rèn)，完成展開管理控制臺(tái)，選擇證書，右擊出現(xiàn)所有任務(wù)選擇導(dǎo)入：如下圖：導(dǎo)入剛下載ca的證書，如下圖：查看剛才打紅叉的證書，現(xiàn)在正常了，如下圖：（9）在web服務(wù)器上啟用安全通道，如圖選擇編輯：勾選“要求安全通道（SSL）”。若此時(shí)客戶端證書選擇“忽略客戶端證書”，此時(shí)web客戶機(jī)可以通過Https:/web服務(wù)器IP地址訪問網(wǎng)站客戶端訪問：無法訪問原因：客戶端沒有申請(qǐng)證書：客戶端申請(qǐng)證書：打開IE瀏覽器， 1/certsrv(這是運(yùn)行證書服務(wù)的計(jì)算機(jī)的IP地址)選擇申請(qǐng)證書，通過瀏覽器：填寫相關(guān)內(nèi)容，提交給客戶機(jī)頒發(fā)證書：客戶機(jī)下載證書并安裝：證書安裝完成：客戶機(jī)訪問：總結(jié)：1. ca建好之后，時(shí)間和計(jì)算機(jī)名都不可修改。2. 給web服務(wù)器申請(qǐng)證書時(shí)，必須下載ca的證書并且導(dǎo)入到受信任的根證書頒發(fā)機(jī)構(gòu)。這樣web服務(wù)器才能信任此CA頒發(fā)的證書。3. 在給web服務(wù)器應(yīng)用證書時(shí)注意一定要勾選“要求安全通道（SSL）”，再勾選“要求客