利用shell腳本自動(dòng)加載cfca吊銷列表文件v1

1、Howto 利用 S加載 CFCA 吊銷列表文件自動(dòng)文檔修訂歷史版本號(hào)版本日期修訂內(nèi)容摘要修訂人1.02011-12-26V10 測試環(huán)境通過王思南1.12012-12-29V11.3.0 測試環(huán)境通過王思南1 背景CFCA 為業(yè)的機(jī)構(gòu)，在國內(nèi)有較多用戶。隨著用戶量的增長，CFCA 提供的目錄查詢的方式來校驗(yàn)用戶L是否被注銷的方式因?yàn)橛脩袅窟^大導(dǎo)致難度過大，CFCA 已經(jīng)不使用 L目錄查詢的方式為用戶提供 CRL 更新服務(wù)了，轉(zhuǎn)而采用 HTTPCRL 文件的方式來提供吊銷列表了。在使用F5 做企業(yè)版網(wǎng)上雙向認(rèn)證的SSL 加速的用戶，需要校驗(yàn)企業(yè)用戶的是否被注銷，來保障應(yīng)用安全。在 F5 配置

2、CRLDP 服務(wù)器的時(shí)候，F(xiàn)5 只提供了 L目錄的查詢方式來配置 CRLDP 服務(wù)器，所以在使用 CFCA的客戶需要用戶手動(dòng)去CRL 文件并進(jìn)行更新，這大大增加了用戶的工CFCA作。下面介紹一種使用S讓F5 自動(dòng)并更新CRL 文件，來減少用戶的工作。2 實(shí)現(xiàn)方式2.1 V10 版使用 crontable 命令配合 S讓 F5 自動(dòng)去 CFCA上并自動(dòng)加載的吊銷列表文件。：#!/bin/bash #set -xecho =start downloading CFCA crl file= date#設(shè)定 CRL 文件存放目錄 CRL_DIR=/config/ssl/ssl.crl #設(shè)定新CRL

3、文件名稱 CRLNAME=$(date +%s).crlecho The new CRL File is:$CRLNAME #設(shè)定 CRLCRLFILE=#判斷是否能CURLCON=curl| wc -lif $CURLCON = 0 thenecho =CFCA CRL File download failed= else#把下來的CRL 文件保存到/config/ssl/ssl.crl 下面curl $CRLFILE $CRL_DIR/$CRLNAMEecho =Loading new CFCA CRL File=#cntssl_default 為 cntssl profile 的名字，根

4、據(jù)配置自行修改手動(dòng)執(zhí)行：保存上面的放到/config/ssl/ssl.crl目錄下面，這里名為：getCRL.sh修改權(quán)限：od a+x /config/ssl/ssl.crl/getCRL.shCrontab 配置：舉例：每周日晚上 23：59 執(zhí)行更新執(zhí)行：crontab eb profile cntssl cntssl_default crl file $CRLNAME b saveecho =CFCA CRL File sucsfully download= fidateecho =END=2.2 V11 版#!/bin/bash #set -xdateCRLNAME=$(date +

5、%s)echo The new downloading CRL File is:$CRLNAMECURLCON=curl| wc -l if $CURLCON = 0 thenecho =CFCA CRL File download failed= elsetmsh create sys file ssl-crl $CRLNAME source-path#為 CFCA CRL地址echo =Loading new CFCA CRL File= tmsh modify ltm profile cnt-ssl test crl-file $CRLNAME #test 為 Cnt-SSL Profile 的名字echo =CFCA CRL File sucsfully download= fidateecho =END=在