Users Guide

X.509v3 概念
认证 将网络设备与公钥关联的文档。在参与的设备之间交换时，将使用证书来验证设备身份以及与设备关联的
公钥。PKI 使用以下证书类型：
● CA 证书：用于对主机证书进行签名的 CA 证书。CA 证书可由其他 CA 颁发或由其自行签署。自签名
CA 证书称为
根证书 。
● 主机证书：颁发给网络设备的证书。主机证书可由 CA 或自签名签名。
● 自签名证书：与 CA 签名的证书相比的主机签名证书。
证书颁发机构
(CA)
验证证书内容并对其进行签名的实体，表示证书受信任且正确。中间 CA 在根 CA 和主机之间签署证书。
证书吊销列表
(CRL)
包含不再有效的证书的 CA 签名文档，即使尚未过期也是如此。例如，为服务器生成新的证书时，将不再
支持旧证书。
证书签发请求
(CSR)
生成密钥对后，交换机将使用密码私钥来签署获取证书的请求，并将请求发送到证书颁发机构。CSR 包含
标识交换机及其公钥的信息。此公钥用于验证 CSR 的私有签名和交换机的可分辨名称 (DN)。CSR 由 CA
签名并返回到主机以用作签名的主机证书。
隐私增强邮件
(PEM)
用于将 X.509v3 数据格式化为安全信息交换的 PKI 标准；如 RFC 1421 中所述。
公钥基础设施
(PKI)
管理私有和公有加密密钥生成的应用程序，以及在网络设备上下载、安装和交换 CA 签名的证书。
X.509v3 管理数字证书和公钥加密的公钥基础设施的标准。
公钥基础设施
要在网络中的 OS10 交换机上使用 509v3 证书进行安全通信和用户身份验证，需要具有证书颁发机构 (CA) 的公钥基础设施
(PKI)。CA 签署证书可证明网络设备的可信度。
当组织想要确保客户与网络的连接安全时，它可能会向证书颁发机构（如 VeriSign 或 DigiCert）付款，以便为其域签署证书。但
是，要实施 509v3 基础架构，您可以充当您自己的 CA。充当您自己的 CA 时，您可以设置 CA 将证书颁发给同一个受信任域中
的主机，以便彼此进行身份验证。
509v3 公钥基础设施
要使用 509v3 证书设置 PKI，Dell EMC Networking 建议：
1. 配置用于生成私钥和自签名 CA 证书的根 CA。
2. 配置一个或多个生成私钥和证书签名请求 (CSR)的中间 CA，并将 CSR 发送到根 CA。
● 根 CA 使用其私钥来签署中间 CA 的 CSR 并为中间 CA 生成 CA 证书。
● 中间 CA 将下载并安装 CA 证书。随后，中间 CA 可以为网络中的主机以及 PKI 层次结构中较低的其他中间 CA 签署证
书。
● 根和中间 CA 证书（而不是相应的私钥）将在网络上公开，以用于要下载的网络主机。
● 只要可能，请将私钥存储为离线或在通用访问受限的位置。
3. 使用 crypto cert generate request 命令生成私钥并在 OS10 交换机上创建 CSR。交换机将 CSR 上传到中间 CA。
要将私钥存储在本地隐藏位置，Dell EMC Networking 建议将 key-file private 参数与命令配合使用。
4. 使用 crypto ca-cert install 命令在主机上下载并安装 CA 证书。安装 CA 证书后，主机会信任由 CA 签署并由其他
网络设备提供的所有证书。您必须先将证书下载到主目录，然后使用 crypto ca-cert install 命令安装证书。
5. 从 OS10 交换机上的中间 CA 下载并安装已签名的主机证书和私钥。然后使用 crypto cert install 命令进行安装。安
装主机证书后，OS10 应用程序将使用证书来保护与网络设备之间的通信。私钥安装在交换机上的内部文件系统中，无法导出
或查看。
管理 CA 证书
OS10 支持从外部证书颁发机构下载和安装公共 X.509v3 证书。
在数据中心环境中，受信任的 CA 服务器可以创建 CA 证书。主机作为受信任的 CA 服务器运行。网络主机安装使用 CA 私钥进
行数字签名的证书，以便在网络中的参与设备之间建立信任。OS10 交换机上的证书用于验证由客户端和服务器（如 Syslog 和
RADIUS 服务器）提供的证书，以与这些设备建立安全连接。
要导入 CA 服务器证书，请执行以下操作：
940
安全性