View_5.2安全服務(wù)器和連接服務(wù)器的SSL配置------精講

1、View 5.2 連接服務(wù)器和安全服務(wù)器的SSL配置作者:macro宋曉東（修改）Email:macrosongxiaodong 日期:2012.6.5 2014.02.10目錄配置環(huán)境:21.在server上用keytool生成pkcs12密鑰文件22.發(fā)送到CA申請WEB服務(wù)器證書33.將申請好的證書轉(zhuǎn)換為PKCS#12格式54.導(dǎo)入簽名證書到密鑰文件85.在View server安裝路徑sslgatewayconf下建立perties 文件中96.把keys.p12導(dǎo)入到本地計算機(jī)證書97.修改證書友好名稱,導(dǎo)入根CA信任138.重啟connection server

2、服務(wù)器或服務(wù)149.測試1410.關(guān)于為什么一定要勾選”標(biāo)志此米要為可導(dǎo)出的密鑰”!15此文是在作者macro的“view_5.1_connection_server的SSL配置“的文檔基礎(chǔ)上改編。其主要核心部分還是macro的，我主要是根據(jù)自己實踐后的結(jié)果，對部分步驟加以補充。使實施者能夠最方便的看懂此文檔。同時在此感謝macro.*注意問題*CA本身是區(qū)分大小寫的。*CA可以配置基于主機(jī)名、完整FQDN名、IP地址進(jìn)行證書分配，但最好是在前期規(guī)劃的服務(wù)器域名要和公網(wǎng)要分配的主機(jī)名一致，同時在連接服務(wù)器IE配置頁面服務(wù)器配置要使用完整的FQDN名稱。否則會出現(xiàn)使用VIEW client 連接

3、時正常，但是進(jìn)入connection連接服務(wù)器配置頁面會發(fā)現(xiàn)安全服務(wù)器還是處于不可信任狀態(tài)。安全服務(wù)器一般部署到DMZ區(qū)域，所以不能將安全服務(wù)器加入到域中，要想成功安裝安全服務(wù)器的SSL證書，則首先要保證安全服務(wù)器本身安裝了CA的根證書。*CONNECTION Security server DNS必須將兩個網(wǎng)卡的DNS設(shè)置成AD的地址。否則可能出現(xiàn)解析域名的問題。配置環(huán)境:Connection server ->windows server 2008r2 entripse微軟企業(yè)根CA ->windows server 2008r2 entripseCA服務(wù)器要求：1. IIS

4、2. Certification Authority(證書頒發(fā)機(jī)構(gòu)單位) 3. Certification Authority Web Enrollment(證書頒發(fā)機(jī)構(gòu)單位Web 注冊)如下圖：connection server, CA搭建就不表了*Keytool路徑在view server安裝目錄下/jr/bin（一般直接將此目錄填入PATH變量中），如下圖：*建議證書的路徑放在同一目錄操作注意一下操作都是基于以下目錄操作：1.在server上用keytool生成pkcs12密鑰文件keytool -genkey -keyalg "RSA" -keystore keys

5、.p12 -storetype pkcs12 -validity 360keytool來創(chuàng)建CSRkeytool -certreq -keyalg "RSA" -file certificate.csr -keystore keys.p12 -storetype pkcs12 storepass 123abc用記事本打開certificate.csr2.發(fā)送到CA申請WEB服務(wù)器證書用記事本打開certificate.csr,如上圖然后用瀏覽器打開CA地址 一般是https;/CA IP地址/certsrv申請證書高級證書申請使用 base64 編碼的 CMC 或 PKCS

6、 #10 文件提交 一個證書申請，或使用 base64 編碼的 PKCS #7 文件續(xù)訂證書申請下載證書 (使用Base64編碼)下載回來的證書3.將申請好的證書轉(zhuǎn)換為PKCS#12格式雙擊上個步驟中下載的證書點擊詳細(xì)信息à復(fù)制到文件導(dǎo)出為PKCS#7格式,包含證書路徑中所有的證書導(dǎo)出文件名為certnew.p7b4.導(dǎo)入簽名證書到密鑰文件 keytool -importcert -keystore keys.p12 -storetype pkcs12 -storepass 密碼 -keyalg "RSA" -trustcacerts -file 剛才導(dǎo)出的文件然

7、后出現(xiàn). 是不可信的。 還是要安裝回復(fù)？ 否：的提示 輸入y 回車5.在View server安裝路徑sslgatewayconf下建立perties 文件中內(nèi)容如下keyfile=keys.p12keypass=密碼storetype=pkcs126.把keys.p12導(dǎo)入到本地計算機(jī)證書開始-運行-MMC-添加/刪除管理單元添加證書 選擇計算機(jī)帳戶本地計算機(jī)導(dǎo)入keys.p12一定要勾選”標(biāo)志此密鑰為可導(dǎo)出的密鑰”!7.修改證書友好名稱,導(dǎo)入根CA信任下圖第一個證書是根CA信任證書,第二個是通過CA申請到的SSL證書,第三個是view自簽名證書首先把根CA拖拉到受信任的

8、根證書頒發(fā)機(jī)構(gòu)view自簽名證書的友好名稱為vdm, 把他改為其他名字通過CA申請到的SSL證書的友好名稱改為vdm8.重啟connection server服務(wù)器或服務(wù)Net stop wsbroker Net start wsbroker9.測試443端口起來了訪問view connection server控制臺 查看是否正常10.關(guān)于為什么一定要勾選”標(biāo)志此米要為可導(dǎo)出的密鑰”!之前測試的時候,443端口一直起不來,也就無法訪問控制臺,dump log如下:2012-06-05T16:54:50.565+08:00 INFO (0C7C-0D64) <Thread-1> u

9、 The Secure Gateway Server is checking for connection attempts on http:/*:802012-06-05T16:54:50.596+08:00 INFO (0C7C-0D64) <Thread-1> u The Secure Gateway Server is using SSL certificate store of type KeyVault2012-06-05T16:54:51.205+08:00 ERROR (0C7C-0D64) <Thread-1> u Couldn't creat

10、e SSL socket factory com.vmware.vdi.ice.server.u.a(SourceFile:529)java.lang.NullPointerException: invalid null inputat java.security.KeyStore$PrivateKeyEntry.<init>(KeyStore.java:361)at com.vmware.vdi.ice.server.KeyVaultKeyStore.engineGetEntry(SourceFile:241)at java.security.KeyStore.getEntry(

11、KeyStore.java:1261)at com.vmware.vdi.ice.server.u.a(SourceFile:578)at com.vmware.vdi.ice.server.u.a(SourceFile:525)at com.vmware.vdi.ice.server.u.b(SourceFile:210)at com.vmware.vdi.ice.server.e.a(SourceFile:77)at com.vmware.vdi.ice.server.Ice.startServer(SourceFile:1061)at sun.reflect.NativeMethodAc

12、cessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at com.sun.jmx.mbeanserver.StandardMBeanIntrospe

13、ctor.invokeM2(StandardMBeanIntrospector.java:93)at com.sun.jmx.mbeanserver.StandardMBeanIntrospector.invokeM2(StandardMBeanIntrospector.java:27)at com.sun.jmx.mbeanserver.MBeanIntrospector.invokeM(MBeanIntrospector.java:208)at com.sun.jmx.mbeanserver.PerInterface.invoke(PerInterface.java:120)at com.

14、sun.jmx.mbeanserver.MBeanSupport.invoke(MBeanSupport.java:262)at erceptor.DefaultMBeanServerInterceptor.invoke(DefaultMBeanServerInterceptor.java:836)at com.sun.jmx.mbeanserver.JmxMBeanServer.invoke(JmxMBeanServer.java:761)at com.vmware.vdi.ice.server.JMXServer.main(SourceFile:195)at

15、sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at pero.workspa

16、ce.windowsinfrastructure.tunnelservice.TunnelService.run(SourceFile:46)at java.lang.Thread.run(Thread.java:662)2012-06-05T16:54:51.205+08:00 FATAL (0C7C-0D64) <Thread-1> Ice ICE start com.vmware.vdi.ice.server.Ice.startServer(SourceFile:1063)java.lang.IllegalArgumentException: socketFactory mu

17、st be suppliedat com.vmware.vdi.ob.tunnelservice.bm.a(SourceFile:559)at com.vmware.vdi.ob.tunnelservice.bm.a(SourceFile:379)at com.vmware.vdi.ice.server.u.b(SourceFile:210)at com.vmware.vdi.ice.server.e.a(SourceFile:77)at com.vmware.vdi.ice.server.Ice.startServer(SourceFile:1061)at sun.reflect.Nativ

18、eMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at com.sun.jmx.mbeanserver.StandardMBea

19、nIntrospector.invokeM2(StandardMBeanIntrospector.java:93)at com.sun.jmx.mbeanserver.StandardMBeanIntrospector.invokeM2(StandardMBeanIntrospector.java:27)at com.sun.jmx.mbeanserver.MBeanIntrospector.invokeM(MBeanIntrospector.java:208)at com.sun.jmx.mbeanserver.PerInterface.invoke(PerInterface.java:12

20、0)at com.sun.jmx.mbeanserver.MBeanSupport.invoke(MBeanSupport.java:262)at erceptor.DefaultMBeanServerInterceptor.invoke(DefaultMBeanServerInterceptor.java:836)at com.sun.jmx.mbeanserver.JmxMBeanServer.invoke(JmxMBeanServer.java:761)at com.vmware.vdi.ice.server.JMXServer.main(SourceFil

21、e:195)at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at per

22、o.workspace.windowsinfrastructure.tunnelservice.TunnelService.run(SourceFile:46)at java.lang.Thread.run(Thread.java:662)2012-06-05T16:54:51.236+08:00 FATAL (0C7C-0D64) <Thread-1> JMXServer Could not start the Ice Server MBean com.vmware.vdi.ice.server.JMXServer.main(SourceFile:197)javax.manage

23、ment.MBeanException: java.lang.Exception: ICE Start: socketFactory must be suppliedat com.sun.jmx.mbeanserver.MBeanIntrospector.unwrapInvocationTargetException(MBeanIntrospector.java:283)at com.sun.jmx.mbeanserver.MBeanIntrospector.invokeM(MBeanIntrospector.java:210)at com.sun.jmx.mbeanserver.PerInt

24、erface.invoke(PerInterface.java:120)at com.sun.jmx.mbeanserver.MBeanSupport.invoke(MBeanSupport.java:262)at erceptor.DefaultMBeanServerInterceptor.invoke(DefaultMBeanServerInterceptor.java:836)at com.sun.jmx.mbeanserver.JmxMBeanServer.invoke(JmxMBeanServer.java:761)at com.vmware.vdi.i

25、ce.server.JMXServer.main(SourceFile:195)at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.in

26、voke(Method.java:597)at pero.workspace.windowsinfrastructure.tunnelservice.TunnelService.run(SourceFile:46)at java.lang.Thread.run(Thread.java:662)Caused by: java.lang.Exception: ICE Start: socketFactory must be suppliedat com.vmware.vdi.ice.server.Ice.startServer(SourceFile:1064)at sun.refle

27、ct.NativeMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at com.sun.jmx.mbeanserver.StandardMBeanIntrospector.invokeM2(StandardMBeanIntrospector.java:93)at com.sun.jmx.mbeanserver.StandardMBeanIntrospector.invokeM2(StandardMBeanIntrospector.java:27)at co