SSL(Security Socket Layer)是由Netscape公司研發(fā)，用以保障在Internet上數(shù)據(jù)傳輸之安全，利用數(shù)據(jù)加密(Encryption)技術(shù)，可確保數(shù)據(jù)在網(wǎng)絡(luò)上之傳輸過(guò)程中不會(huì)被截取及竊聽(tīng)。SSL在客戶(hù)和服務(wù)器之間建立一條加密通道，確保所傳輸?shù)臄?shù)據(jù)不被非法竊取，SSL安全加密機(jī)制功能是依靠使用數(shù)字證書(shū)來(lái)實(shí)現(xiàn)的。本文以Windows Server 2012系統(tǒng)為例，介紹如何在IIS網(wǎng)站中應(yīng)用SSL安全加密機(jī)制功能。

一、為IIS網(wǎng)站創(chuàng)建數(shù)字證書(shū)

1、首先必須使用“Web服務(wù)器證書(shū)向?qū)А惫δ転樵摼W(wǎng)站生成一個(gè)證書(shū)請(qǐng)求文件。

2、進(jìn)入“控制面板→管理工具→Internet 信息服務(wù)（IIS）管理器”，在IIS管理器窗口中展開(kāi)“網(wǎng)站”目錄，右鍵點(diǎn)擊要使用SSL安全加密機(jī)制功能的網(wǎng)站，在彈出菜單中選擇“屬性”，然后切換到“目錄安全性”標(biāo)簽頁(yè)，接著點(diǎn)擊“服務(wù)器證書(shū)”按鈕。

3、在“IIS證書(shū)向?qū)А贝翱谥羞x擇“新建證書(shū)”選項(xiàng)，點(diǎn)擊“下一步”，選中“現(xiàn)在準(zhǔn)備證書(shū)請(qǐng)求，但稍后發(fā)送”，接著在“名稱(chēng)”欄中為該證書(shū)起個(gè)名字，在“位長(zhǎng)”下拉列表中選擇“密鑰的位長(zhǎng)”，這里要注意，位長(zhǎng)不能設(shè)置的過(guò)大，否則會(huì)影響通信質(zhì)量、

4、接著設(shè)置證書(shū)的單位、部門(mén)、和地理信息，在站點(diǎn)“公用名稱(chēng)欄”中輸入該網(wǎng)站的域名，然后指定證書(shū)請(qǐng)求文件的保存位置，這里筆者將該證書(shū)請(qǐng)求文本文件保存在“d:\certreq.txt”。這樣就完成了證書(shū)請(qǐng)求文件的生成。

二、申請(qǐng)IIS網(wǎng)站證書(shū)

完成了證書(shū)請(qǐng)求文件的生成后，就可以開(kāi)始申請(qǐng)IIS網(wǎng)站證書(shū)了。但這個(gè)過(guò)程需要證書(shū)服務(wù)（Certificate Services）的支持。Windows 2003系統(tǒng)默認(rèn)狀態(tài)沒(méi)安裝此服務(wù)，需要手工添加。

三、安裝證書(shū)服務(wù)

1、在“控制面板”中運(yùn)行“添加或刪除程序”，切換到“添加/刪除Windows組件”頁(yè)，在“Windows組件向?qū)А睂?duì)話(huà)框中，選中“證書(shū)服務(wù)”選項(xiàng)，接下來(lái)選擇CA類(lèi)型，這里筆者選擇“獨(dú)立根CA”，然后為該CA服務(wù)器起個(gè)名字，設(shè)置證書(shū)的有效期限，建議使用默認(rèn)值“5年”即可，最后指定證書(shū)數(shù)據(jù)庫(kù)和證書(shū)數(shù)據(jù)庫(kù)日志的位置后，就完成了證書(shū)服務(wù)的安裝。

2、完成了證書(shū)服務(wù)的安裝后，就能開(kāi)始申請(qǐng)IIS網(wǎng)站證書(shū)了。運(yùn)行Internet Explorer瀏覽器，在地址欄中輸入“http://localhost/CertSrv/default.asp”。接著在“Microsoft 證書(shū)服務(wù)”歡迎窗口中點(diǎn)擊“申請(qǐng)一個(gè)證書(shū)”鏈接，然后在證書(shū)申請(qǐng)類(lèi)型中點(diǎn)擊“高級(jí)證書(shū)申請(qǐng)”鏈接，在高級(jí)證書(shū)申請(qǐng)窗口中點(diǎn)擊“使用BASE64編碼的CMC或PKCS＃10文件提交…．”鏈接，接著將證書(shū)請(qǐng)求文件的內(nèi)容復(fù)制到“保存的申請(qǐng)”輸入框中，這里筆者的證書(shū)請(qǐng)求文件內(nèi)容保存在“d:\certreq.txt”，最后點(diǎn)擊“提交”按鈕。

四、頒發(fā)IIS網(wǎng)站證書(shū)

雖然完成了IIS網(wǎng)站證書(shū)的申請(qǐng)后，但這時(shí)它還處于掛起狀態(tài)，需要頒發(fā)后才能生效。

1、在“控制面板→管理工具”中，運(yùn)行“證書(shū)頒發(fā)機(jī)構(gòu)”程序。在“證書(shū)頒發(fā)機(jī)構(gòu)”左側(cè)窗口中展開(kāi)目錄，選中“掛起的申請(qǐng)”目錄，在右側(cè)窗口找到剛才申請(qǐng)的證書(shū)，鼠標(biāo)右鍵點(diǎn)擊該證書(shū)，選擇“所有任務(wù)→頒發(fā)”。

2、接著點(diǎn)擊 “頒發(fā)的證書(shū)”目錄，打開(kāi)剛剛頒發(fā)成功的證書(shū)，在 “證書(shū)”對(duì)話(huà)框中切換到“詳細(xì)信息”標(biāo)簽頁(yè)。點(diǎn)擊“復(fù)制到文件”按鈕，彈出證書(shū)導(dǎo)出對(duì)話(huà)框，一路下一步，在“要導(dǎo)出的文件”欄中指定文件名，這里筆者保存證書(shū)路徑為“d:\cce.cer”，最后點(diǎn)擊“完成”。

五、導(dǎo)入IIS網(wǎng)站證書(shū)

在IIS管理器的“目錄安全性”標(biāo)簽頁(yè)中，點(diǎn)擊“服務(wù)器證書(shū)”按鈕，這時(shí)彈出“掛起的證書(shū)請(qǐng)求”對(duì)話(huà)框，選擇“處理掛起的請(qǐng)求并安裝證書(shū)”選項(xiàng)，點(diǎn)擊“下一步”后，指定好剛才導(dǎo)出的IIS網(wǎng)站證書(shū)文件的位置，接著指定SSL使用的端口，建議使用默認(rèn)的“443”，最后點(diǎn)擊“完成”按鈕。

六、配置IIS服務(wù)器

完成了證書(shū)的導(dǎo)入后，IIS網(wǎng)站這時(shí)還沒(méi)有啟用SSL安全加密功能，需要對(duì)IIS服務(wù)器進(jìn)行配置。

1、在“目錄安全性”標(biāo)簽頁(yè)，點(diǎn)擊安全通信欄的“編輯”按鈕，選中“要求安全通道（SSL）”和“要求128位加密”選項(xiàng)，最后點(diǎn)擊“確定”按鈕即可。

2、接著點(diǎn)擊“身份驗(yàn)證和訪問(wèn)控制”欄的“編輯”按鈕，在對(duì)話(huà)框中取消“啟用匿名訪問(wèn)”和“集成Windows身份驗(yàn)證”選項(xiàng)，這里要選中“基本身份驗(yàn)證”選項(xiàng)，最后點(diǎn)擊“確定”按鈕。

admin

收藏 海報(bào)分享