Los certificados de cliente SSL autentican a los clientes y cifran los datos de las conexiones SSL-VPN. Solo los clientes autenticados pueden conectarse a Alibaba Cloud mediante SSL-VPN. Descargue e instale el certificado en cada cliente.
Requisitos previos
Ya se creó un servidor SSL. Create and manage an SSL server.
Crear un certificado de cliente SSL
Inicie sesión en la consola de VPN Gateway.
En el panel de navegación izquierdo, seleccione .
En la barra de navegación superior, seleccione la región del cliente SSL.
En la página SSL Clients, haga clic en Create SSL Client.
-
En el panel Create SSL Client, configure el certificado de cliente SSL con base en la información que se muestra a continuación y, después, haga clic en OK.
Configuración
Descripción
Name
Introduzca un nombre para el certificado de cliente SSL.
Resource Group
Seleccione el resource group del servidor SSL.
El certificado de cliente SSL debe pertenecer al mismo resource group que el servidor SSL.
SSL Server
Seleccione el servidor SSL que desea asociar con este certificado.
Qué hacer a continuación
Descargue e instale el certificado en su cliente.
Descargar un certificado de cliente SSL
Inicie sesión en la consola de VPN Gateway.
En el panel de navegación izquierdo, seleccione .
En la barra de navegación superior, seleccione la región del cliente SSL.
-
Después de hacer clic en En la página SSL Clients, busque el certificado de cliente SSL deseado y haga clic en Download Certificate en la columna Actions., el navegador descarga un paquete comprimido que contiene el certificado de CA, el certificado de cliente, la clave de cliente y el archivo de configuración del cliente (config.ovpn).
Si el navegador no responde tras hacer clic en Download Certificate , por lo general se debe a que la caché del navegador impide que el script de la página se ejecute correctamente. Intente actualizar la página, cerrar sesión y volver a iniciarla en la consola, borrar la caché del navegador o repetir el proceso en una ventana de incógnito o privada.
Eliminar un certificado de cliente SSL
Al eliminar un certificado de cliente SSL se desconectan todos los clientes vinculados al servidor SSL. Para volver a conectarse, los clientes deben restablecer sus conexiones SSL-VPN.
Por ejemplo, si un servidor SSL tiene el Certificado 1 y el Certificado 2, al eliminar el Certificado 1 se desconectan todos los clientes que usan cualquiera de los dos certificados.
Los clientes que usaban el Certificado 1 deben instalar otro certificado válido y restablecer la conexión SSL-VPN.
Los clientes que usaban el Certificado 2 pueden reconectarse al restablecer la conexión SSL-VPN.
Inicie sesión en la consola de VPN Gateway.
En el panel de navegación izquierdo, seleccione .
En la barra de navegación superior, seleccione la región del cliente SSL.
En la página SSL Clients, busque el certificado de cliente SSL deseado y haga clic en Delete en la columna Actions.
En el cuadro de diálogo Are you sure that you want to delete the client certificates?, confirme la advertencia de riesgo y haga clic en Delete.
Gestión de la caducidad de los certificados de cliente SSL
Un certificado de cliente SSL tiene una vigencia de tres años a partir de su creación.
Cuando el certificado caduca, puede crear directamente un nuevo certificado de cliente SSL sin necesidad de eliminar primero el anterior.
El nombre del nuevo certificado puede ser igual al del anterior. El sistema no genera ningún error por nombres duplicados, y un certificado antiguo sin eliminar no afecta el funcionamiento normal del nuevo.
Crear y gestionar certificados de cliente SSL mediante llamadas a API
Puede crear, consultar y eliminar certificados de cliente SSL mediante llamadas a las API a través de Alibaba Cloud SDK (recomendado), Alibaba Cloud CLI, Terraform y Resource Orchestration Service (ROS). Para obtener más información sobre las API relacionadas, consulte:
Preguntas frecuentes
¿SSL-VPN admite asignar direcciones IP privadas fijas a los clientes?
No. Cada vez que un cliente inicia una conexión SSL-VPN, el sistema le asigna dinámicamente una dirección IP privada disponible del bloque Client CIDR Block configurado en el servidor SSL. Si el cliente se desconecta y vuelve a conectarse, la dirección IP privada asignada podría cambiar. Actualmente no existe otro método para asignar una dirección IP privada fija a un cliente. Si su negocio requiere control de acceso basado en direcciones, se recomienda planificar las reglas de control de acceso con base en segmentos de red de clientes, en lugar de usar la dirección IP privada de un solo cliente.
¿Un solo certificado de cliente SSL limita la cantidad de clientes que inician sesión de forma simultánea?
No. Un único certificado de cliente SSL-VPN admite el inicio de sesión simultáneo de varios clientes. No se admite la restricción de inicio de sesión para un solo usuario; es decir, no es posible limitar la cantidad de inicios de sesión para permitir que solo un cliente use un certificado. El límite máximo de conexiones simultáneas depende de la especificación de conexiones SSL de la instancia de VPN Gateway a la que pertenece el servidor SSL, y no guarda relación con la cantidad de certificados. Si necesita identificar las identidades de acceso por usuario, se recomienda crear un certificado de cliente SSL independiente para cada usuario o habilitar la autenticación de dos factores en el servidor SSL.