• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

安全命令参考

目录

09-SSL命令

本章节下载 09-SSL命令  (132.09 KB)

docurl=/cn/Service/Document_Software/Document_Center/Wlan/WA/WA1208E/Command/Command_Manual/H3C_WA_CR-6W101/09/201205/745650_30005_0.htm

09-SSL命令


l          产品对相关命令参数的支持情况、缺省值及取值范围的差异内容请参见“特性差异化列表”部分。

l          设备支持的接口类型和编号与设备的实际情况相关,本手册涉及以太网接口的配置举例统一使用Eth口举例说明。实际使用中请根据具体设备的接口类型和编号进行配置。

 

1 SSL配置命令

1.1  SSL配置命令

1.1.1  ciphersuite

【命令】

ciphersuite [ rsa_3des_ede_cbc_sha | rsa_aes_128_cbc_sha | rsa_aes_256_cbc_sha | rsa_des_cbc_sha | rsa_rc4_128_md5 | rsa_rc4_128_sha ] *

【视图】

SSL服务器端策略视图

【缺省级别】

2:系统级

【参数】

rsa_3des_ede_cbc_sha:密钥交换算法采用RSA、数据加密算法采用3DES_EDE_CBC、MAC算法采用SHA。

rsa_aes_128_cbc_sha:密钥交换算法采用RSA、数据加密算法采用128位AES_CBC、MAC算法采用SHA。

rsa_aes_256_cbc_sha:密钥交换算法采用RSA、数据加密算法采用256位AES_CBC、MAC算法采用SHA。

rsa_des_cbc_sha:密钥交换算法采用RSA、数据加密算法采用DES_CBC、MAC算法采用SHA。

rsa_rc4_128_md5:密钥交换算法采用RSA、数据加密算法采用128位的RC4、MAC算法采用MD5。

rsa_rc4_128_sha:密钥交换算法采用RSA、数据加密算法采用128位的RC4、MAC算法采用SHA。

【描述】

ciphersuite命令用来配置SSL服务器端策略支持的加密套件。

缺省情况下,SSL服务器端策略支持所有的加密套件。

需要注意的是:

l              如果不指定任何参数,则SSL服务器端策略支持上述6种加密套件。

l              如果多次执行本命令,则新的配置覆盖原有配置。

相关配置可参考命令display ssl server-policy

【举例】

# 指定SSL服务器端策略支持的加密套件为rsa_rc4_128_md5rsa_rc4_128_sha

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] ciphersuite rsa_rc4_128_md5 rsa_rc4_128_sha

1.1.2  client-verify enable

【命令】

client-verify enable

undo client-verify enable

【视图】

SSL服务器端策略视图

【缺省级别】

2:系统级

【参数】

【描述】

client-verify enable命令用来使能基于证书的SSL客户端身份验证,即在SSL握手过程中,服务器端需要对客户端进行基于证书的身份验证。undo client-verify enable命令用来恢复缺省情况。

缺省情况下,不需要进行基于证书的SSL客户端身份验证。

相关配置可参考命令display ssl server-policy

【举例】

# 配置握手过程中,服务器端需要对客户端进行基于证书的身份验证。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] client-verify enable

1.1.3  close-mode wait

【命令】

close-mode wait

undo close-mode wait

【视图】

SSL服务器端策略视图

【缺省级别】

2:系统级

【参数】

【描述】

close-mode wait命令用来配置SSL连接的关闭模式为wait模式,即发送close-notify警告消息给客户端后,等待客户端的close-notify警告消息,在接收到客户端的close-notify警告消息后才能关闭连接。undo close-mode wait命令用来恢复缺省情况。

缺省情况下,服务器发送close-notify警告消息给客户端,不等待客户端的close-notify警告消息,直接关闭连接。

相关配置可参考命令display ssl server-policy

【举例】

# 设定SSL连接的关闭模式为wait模式。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] close-mode wait

1.1.4  display ssl client-policy

【命令】

display ssl client-policy { policy-name | all }

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

policy-name:显示指定的SSL客户端策略的信息,为1~16个字符的字符串,不区分大小写。

all:显示所有SSL客户端策略的信息。

【描述】

display ssl client-policy命令用来显示SSL客户端策略的信息。

【举例】

# 显示名为policy1的SSL客户端策略信息。

<Sysname> display ssl client-policy policy1

 SSL Client Policy: policy1

     SSL Version: SSL 3.0

     PKI Domain: 1

     Prefer Ciphersuite:

         RSA_RC4_128_SHA

表1-1 display ssl client-policy命令显示信息描述表

字段

描述

SSL Client Policy

SSL客户端策略名

SSL Version

SSL客户端策略使用的协议版本号,取值包括SSL 3.0和TLS 1.0

PKI Domain

SSL客户端策略使用的PKI域

Prefer Ciphersuite

SSL客户端策略的首选加密套件

 

1.1.5  display ssl server-policy

【命令】

display ssl server-policy { policy-name | all }

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

policy-name:显示指定的SSL服务器端策略的信息,为1~16个字符的字符串,不区分大小写。

all:显示所有SSL服务器端策略的信息。

【描述】

display ssl server-policy命令用来显示SSL服务器端策略的信息。

【举例】

# 显示名为policy1的SSL服务器端策略的信息。

<Sysname> display ssl server-policy policy1

 SSL Server Policy: policy1

     PKI Domain: domain1

     Ciphersuite:

         RSA_RC4_128_MD5

         RSA_RC4_128_SHA

         RSA_DES_CBC_SHA

         RSA_3DES_EDE_CBC_SHA

         RSA_AES_128_CBC_SHA

         RSA_AES_256_CBC_SHA

     Handshake Timeout: 3600

     Close-mode: wait disabled

     Session Timeout: 3600

     Session Cachesize: 500

     Client-verify: disabled

表1-2 display ssl server-policy命令显示信息描述表

字段

描述

SSL Server Policy

SSL服务器端策略名

PKI Domain

SSL服务器端策略使用的PKI域

Ciphersuite

SSL服务器端策略支持的加密套件

Handshake Timeout

SSL服务器端策略的握手连接保持时间,单位为秒

Close-mode

SSL服务器端策略的关闭模式,取值包括:

l      wait disabled:SSL连接的关闭模式为非wait模式,即服务器发送close-notify警告消息给客户端,不等待客户端的close-notify警告消息,直接关闭连接

l      wait enabled:SSL连接的关闭模式为wait模式,即发送close-notify警告消息给客户端后,等待客户端的close-notify警告消息,在接收到客户端的close-notify警告消息后才能关闭连接

Session Timeout

SSL服务器端策略会话缓存的超时时间,单位为秒

Session Cachesize

SSL服务器端策略可以缓存的最大会话数目

Client-verify

SSL服务器端策略的客户端验证模式,取值包括:

l      disabled:不需要对客户端进行身份验证

l      enabled:需要对客户端进行身份验证

 

1.1.6  handshake timeout

【命令】

handshake timeout time

undo handshake timeout

【视图】

SSL服务器端策略视图

【缺省级别】

2:系统级

【参数】

time:握手连接的保持时间,取值范围为180~7200,单位为秒。

【描述】

handshake timeout命令用来配置SSL服务器端策略的握手连接保持时间。undo handshake timeout命令用来恢复缺省情况。

缺省情况下,SSL服务器端策略的握手连接保持时间为3600秒。

如果SSL服务器在握手连接保持时间内没有收到SSL客户端的报文,则SSL服务器将终止当前的SSL握手过程。

相关配置可参考命令display ssl server-policy

【举例】

# 配置SSL服务器端策略的握手连接保持时间为3000秒。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] handshake timeout 3000

1.1.7  pki-domain

【命令】

pki-domain domain-name

undo pki-domain

【视图】

SSL服务器端策略视图/SSL客户端策略视图

【缺省级别】

2:系统级

【参数】

domain-name:PKI域的域名,为1~15个字符的字符串,不区分大小写。

【描述】

pki-domain命令用来配置SSL服务器端策略或SSL客户端策略所使用的PKI域。undo pki-domain命令恢复缺省情况。

缺省情况下,没有配置SSL服务器端策略和SSL客户端策略所使用PKI域。

相关配置可参考命令display ssl server-policydisplay ssl client-policy

【举例】

# 配置SSL服务器端策略所使用的PKI域为server-domain。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] pki-domain server-domain

# 配置SSL客户端策略所使用的PKI域为client-domain。

<Sysname> system-view

[Sysname] ssl client-policy policy1

[Sysname-ssl-client-policy-policy1] pki-domain client-domain

1.1.8  prefer-cipher

【命令】

prefer-cipher { rsa_3des_ede_cbc_sha | rsa_aes_128_cbc_sha | rsa_aes_256_cbc_sha | rsa_des_cbc_sha | rsa_rc4_128_md5 | rsa_rc4_128_sha }

undo prefer-cipher

【视图】

SSL客户端策略视图

【缺省级别】

2:系统级

【参数】

rsa_3des_ede_cbc_sha:密钥交换算法采用RSA、数据加密算法采用3DES_EDE_CBC算法、MAC算法采用SHA。

rsa_aes_128_cbc_sha:密钥交换算法采用RSA、数据加密算法采用128位AES_CBC算法、MAC算法采用SHA。

rsa_aes_256_cbc_sha:密钥交换算法采用RSA、数据加密算法采用256位AES_CBC算法、MAC算法采用SHA。

rsa_des_cbc_sha:密钥交换算法采用RSA、数据加密算法采用DES_CBC算法、MAC算法采用SHA。

rsa_rc4_128_md5:密钥交换算法采用RSA、数据加密算法采用128位的RC4算法、MAC算法采用MD5。

rsa_rc4_128_sha:密钥交换算法采用RSA、数据加密算法采用128位的RC4算法、MAC算法采用SHA。

【描述】

prefer-cipher命令用来配置SSL客户端策略的首选加密套件。undo perfer-cipher命令用来恢复缺省情况。

缺省情况下,SSL客户端策略的首选加密套件为rsa_rc4_128_md5

相关配置可参考命令display ssl client-policy

【举例】

# 配置SSL客户端策略的首选加密套件为rsa_aes_128_cbc_sha

<Sysname> system-view

[Sysname] ssl client-policy policy1

[Sysname-ssl-client-policy-policy1] prefer-cipher rsa_aes_128_cbc_sha

1.1.9  session

【命令】

session { cachesize size | timeout time } *

undo session { cachesize | timeout } *

【视图】

SSL服务器端策略视图

【缺省级别】

2:系统级

【参数】

cachesize size:缓存的最大会话数目,size取值范围为100~1000。

timeout time:会话缓存的超时时间,time取值范围为1800~72000,单位为秒。

【描述】

session命令用来配置缓存的最大会话数目和会话缓存的超时时间。undo session命令用来恢复缓存的最大会话数目或会话缓存超时时间为缺省情况。

缺省情况下,缓存的最大会话数目为500个,会话缓存的超时时间为3600秒。

通过SSL握手协议协商会话参数并建立会话的过程比较复杂。为了简化SSL握手过程,SSL允许重用已经协商过的会话参数建立会话。为此,SSL服务器上需要保存已有的会话信息。保存的会话信息的数目和保存时间具有一定的限制:

l              如果缓存的会话数目达到最大值,SSL将拒绝缓存新的会话;

l              会话保存的时间超过设定的时间后,SSL将删除该会话的信息。

相关配置可参考命令display ssl server-policy

【举例】

# 配置会话缓存的超时时间为4000秒,缓存的最大会话数目为600个。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1] session timeout 4000 cachesize 600

1.1.10  ssl client-policy

【命令】

ssl client-policy policy-name

undo ssl client-policy { policy-name | all }

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

policy-name:SSL客户端策略名,为1~16个字符的字符串,不区分大小写,该字符串不能是“a”,“al”和“all”。

all:所有SSL客户端策略。

【描述】

ssl client-policy命令用来创建SSL客户端策略,并进入SSL客户端策略视图。undo ssl client-policy命令用来删除已创建的SSL客户端策略。

相关配置可参考命令display ssl client-policy

【举例】

# 创建名为policy1的SSL客户端策略,并进入该SSL客户端策略视图。

<Sysname> system-view

[Sysname] ssl client-policy policy1

[Sysname-ssl-client-policy-policy1]

1.1.11  ssl server-policy

【命令】

ssl server-policy policy-name

undo ssl server-policy { policy-name | all }

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

policy-name:SSL服务器端策略名,为1~16个字符的字符串,不区分大小写,该字符串不能是“a”,“al”和“all”。

all:所有的SSL服务器端策略。

【描述】

ssl server-policy命令用来创建SSL服务器端策略,并进入SSL服务器端策略视图。undo ssl server-policy命令用来删除已创建的SSL服务器端策略。

需要注意的是,SSL服务器端策略与应用层协议关联后,无法删除该策略。

相关配置可参考命令display ssl server-policy

【举例】

# 创建名为policy1的SSL服务器端策略,并进入该SSL服务器端策略视图。

<Sysname> system-view

[Sysname] ssl server-policy policy1

[Sysname-ssl-server-policy-policy1]

1.1.12  version

【命令】

version { ssl3.0 | tls1.0 }

undo version

【视图】

SSL客户端策略视图

【缺省级别】

2:系统级

【参数】

ssl3.0:版本号为SSL 3.0。

tls1.0:版本号为TLS 1.0。

【描述】

version命令用来配置SSL客户端策略使用的SSL协议版本。undo version命令恢复缺省情况。

缺省情况下,SSL客户端策略使用的SSL协议版本号为TLS 1.0。

相关配置可参考命令display ssl client-policy

【举例】

# 配置SSL客户端策略使用的SSL协议版本号为SSL 3.0。

<Sysname> system-view

[Sysname] ssl client-policy policy1

[Sysname-ssl-client-policy-policy1] version ssl3.0

 


不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们