07 安全命令参考

ciphersuite { dhe_rsa_aes_128_cbc_sha | dhe_rsa_aes_256_cbc_sha | exp_rsa_des_cbc_sha | exp_rsa_rc2_md5 | exp_rsa_rc4_md5 | rsa_3des_ede_cbc_sha | rsa_aes_128_cbc_sha | rsa_aes_256_cbc_sha | rsa_des_cbc_sha | rsa_rc4_128_md5 | rsa_rc4_128_sha } *

SSL服务器端策略支持所有的加密套件。

SSL服务器端策略视图

dhe_rsa_aes_128_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用128位的AES、MAC算法采用SHA。

dhe_rsa_aes_256_cbc_sha：密钥交换算法采用DHE RSA、数据加密算法采用256位的AES、MAC算法采用SHA。

exp_rsa_des_cbc_sha：满足出口限制的算法套件。密钥交换算法采用RSA、数据加密算法采用DES_CBC、MAC算法采用SHA。

exp_rsa_rc2_md5：满足出口限制的算法套件。密钥交换算法采用RSA、数据加密算法采用RC2、MAC算法采用MD5。

exp_rsa_rc4_md5：满足出口限制的算法套件。密钥交换算法采用RSA、数据加密算法采用RC4、MAC算法采用MD5。

rsa_3des_ede_cbc_sha：密钥交换算法采用RSA、数据加密算法采用3DES_EDE_CBC、MAC算法采用SHA。

rsa_aes_128_cbc_sha：密钥交换算法采用RSA、数据加密算法采用128位AES_CBC、MAC算法采用SHA。

rsa_aes_256_cbc_sha：密钥交换算法采用RSA、数据加密算法采用256位AES_CBC、MAC算法采用SHA。

rsa_des_cbc_sha：密钥交换算法采用RSA、数据加密算法采用DES_CBC、MAC算法采用SHA。

rsa_rc4_128_md5：密钥交换算法采用RSA、数据加密算法采用128位的RC4、MAC算法采用MD5。

rsa_rc4_128_sha：密钥交换算法采用RSA、数据加密算法采用128位的RC4、MAC算法采用SHA。

需要注意的是，如果多次执行本命令，则新的配置覆盖原有配置。

为了提高安全性，SSL协议采用了如下算法：

· 数据加密算法：用来对传输的数据进行加密，以保证数据传输的私密性。常用的数据加密算法通常为对称密钥算法，如DES_CBC、3DES_EDE_CBC、AES_CBC、RC4等。使用对称密钥算法时，要求SSL服务器端和SSL客户端具有相同的密钥。

· MAC（Message Authentication Code，消息验证码）算法：用来计算数据的MAC值，以防止发送的数据被篡改。常用的MAC算法有MD5、SHA等。使用MAC算法时，要求SSL服务器端和SSL客户端具有相同的密钥。

· 密钥交换算法：用来实现密钥交换，以保证对称密钥算法、MAC算法中使用的密钥在SSL服务器端和SSL客户端之间安全地传递。常用的密钥交换算法通常为非对称密钥算法，如RSA。

通过本命令可以配置SSL服务器端策略支持的各种算法组合。例如，rsa_des_cbc_sha表示SSL服务器端策略支持的密钥交换算法为RSA、数据加密算法为DES_CBC、MAC算法为SHA。

SSL服务器接收到SSL客户端发送的客户端加密套件后，将服务器支持的加密套件与SSL客户端支持的加密套件比较。如果SSL服务器支持的加密套件中存在SSL客户端支持的加密套件，则加密套件协商成功；否则，加密套件协商失败。

# 指定SSL服务器端策略支持如下加密套件：

· 密钥交换算法为DHE RSA、数据加密算法为128位的AES、MAC算法为SHA

· 密钥交换算法为RSA、数据加密算法为128位的AES、MAC算法为SHA

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] ciphersuite dhe_rsa_aes_128_cbc_sha rsa_aes_128_cbc_sha

· prefer-cipher

1.1.2 client-verify enable

client-verify enable命令用来配置SSL服务器端要求对SSL客户端进行基于数字证书的身份验证。undo client-verify enable命令用来恢复缺省情况。

undo client-verify enable

client-verify enable

【缺省情况】

SSL服务器端不要求对SSL客户端进行基于数字证书的身份验证。

SSL服务器端策略视图

SSL通过数字证书实现对对端的身份进行验证。数字证书的详细介绍，请参见“安全配置指导”中的“PKI”。

如果执行了client-verify enable命令，则SSL客户端必须将自己的数字证书提供给服务器，以便服务器对客户端进行基于数字证书的身份验证。只有身份验证通过后，SSL客户端才能访问SSL服务器。

# 配置SSL服务器端要求对SSL客户端进行基于数字证书的身份验证。

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] client-verify enable

1.1.3 display ssl server-policy

display ssl server-policy命令用来显示SSL服务器端策略的信息。

display ssl server-policy [ policy-name ]

policy-name：显示指定的SSL服务器端策略的信息，为1～31个字符的字符串，不区分大小写。如果不指定本参数，则显示所有SSL服务器端策略的信息。

<Sysname> display ssl server-policy policy1

# 显示名为policy1的SSL服务器端策略的信息。

SSL server policy: policy1

PKI domain: server-domain

Ciphersuites:

DHE_RSA_AES_128_CBC_SHA

RSA_AES_128_CBC_SHA

Session cache size: 600

Client-verify: enabled

表1-1 display ssl server-policy命令显示信息描述表

字段	描述
SSL server policy	SSL服务器端策略名
PKI domain	SSL服务器端策略使用的PKI域
Ciphersuites	SSL服务器端策略支持的加密套件
Session cache size	SSL服务器端可以缓存的最大会话数目
Client-verify	SSL服务器端策略的客户端验证模式，取值包括： · disabled：不要求对客户端进行基于数字证书的身份验证 · enabled：要求对客户端进行基于数字证书的身份验证

1.1.4 pki-domain (SSL server policy view)

pki-domain命令用来配置SSL服务器端策略所使用的PKI域。

undo pki-domain命令用来恢复缺省情况。

pki-domain domain-name

undo pki-domain

【缺省情况】

没有指定SSL服务器端策略所使用的PKI域。

SSL服务器端策略视图

domain-name：PKI域的域名，为1～31个字符的字符串，不区分大小写。

如果通过本命令指定了SSL服务器端策略使用的PKI域，则引用该服务器端策略的SSL服务器将通过该PKI域获取服务器端的数字证书。

# 配置SSL服务器端策略所使用的PKI域为server-domain。

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] pki-domain server-domain

· pki domain（安全命令参考/PKI）

1.1.5 session cachesize

session cachesize命令用来配置SSL服务器上可以缓存的最大会话数目。

undo session cachesize命令用来恢复缺省情况。

session cachesize size

undo session cachesize

【缺省情况】

SSL服务器上可以缓存的最大会话数目为500个。

SSL服务器端策略视图

size：缓存的最大会话数目，取值范围为100～1000。

通过SSL握手协议协商会话参数并建立会话的过程比较复杂。为了简化SSL握手过程，SSL允许重用已经协商出的会话参数建立会话。为此，SSL服务器上需要保存已有的会话信息。本命令用来限制可以保存的会话数目。如果缓存的会话数目达到最大值，SSL将拒绝缓存新协商出的会话。

# 配置SSL服务器上可以缓存的最大会话数目为600个。

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] session cachesize 600

1.1.6 ssl server-policy

ssl server-policy命令用来创建SSL服务器端策略，并进入SSL服务器端策略视图。

undo ssl server-policy命令用来删除已创建的SSL服务器端策略。

ssl server-policy policy-name

undo ssl server-policy policy-name

设备上不存在任何SSL服务器端策略。

policy-name：SSL服务器端策略名，为1～31个字符的字符串，不区分大小写。

SSL服务器端策略视图下可以配置SSL服务器启动时使用的SSL参数，如使用的PKI域、支持的加密套件等。只有与HTTPS等应用关联后，SSL服务器端策略才能生效。

# 创建SSL服务器端策略policy1，并进入SSL服务器端策略视图。

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1]

1.2 SSL客户端策略配置命令

1.2.1 display ssl client-policy

display ssl client-policy命令用来显示SSL客户端策略的信息。

display ssl client-policy [ policy-name ]

policy-name：显示指定的SSL客户端策略的信息，为1～31个字符的字符串，不区分大小写。如果不指定本参数，则显示所有SSL客户端策略的信息。