Les certificats client SSL permettent d'authentifier les clients et de chiffrer les données pour les connexions SSL-VPN. Seuls les clients authentifiés peuvent se connecter à Alibaba Cloud via SSL-VPN. Téléchargez et installez le certificat sur chaque client.
Prérequis
Un serveur SSL est créé. Créer et gérer un serveur SSL.
Créer un certificat client SSL
Connectez-vous à la console VPN Gateway.
Dans le volet de navigation de gauche, choisissez .
Dans la barre de navigation supérieure, sélectionnez la région du client SSL.
Sur la page SSL Clients, cliquez sur Create SSL Client.
-
Dans le panneau Create SSL Client, configurez le certificat client SSL puis cliquez sur OK.
Configuration
Description
Name
Saisissez un nom pour le certificat client SSL.
Resource Group
Sélectionnez le groupe de ressources du serveur SSL.
Le certificat client SSL doit appartenir au même groupe de ressources que le serveur SSL.
SSL Server
Choisissez le serveur SSL à associer à ce certificat.
Étapes suivantes
Téléchargez et installez le certificat sur votre client.
Télécharger un certificat client SSL
Connectez-vous à la console VPN Gateway.
Dans le volet de navigation de gauche, choisissez .
Dans la barre de navigation supérieure, sélectionnez la région du client SSL.
-
Sur la page SSL Clients, localisez le certificat client SSL à gérer et cliquez sur Download Certificate dans la colonne Actions.
Après avoir cliqué sur Download Certificate, le navigateur télécharge une archive contenant le certificat CA, le certificat client, la clé client et le fichier de configuration client (
config.ovpn).Si rien ne se produit lorsque vous cliquez sur Download Certificate, ou si le lien de téléchargement ne s'ouvre pas, le cache du navigateur empêche probablement l'exécution correcte du script de la page. Exécutez les étapes suivantes dans l'ordre, puis téléchargez à nouveau le certificat et le fichier de configuration :
Actualisez la page et cliquez de nouveau sur Download Certificate.
Déconnectez-vous de la console, reconnectez-vous, puis cliquez sur Download Certificate.
Videz le cache du navigateur ou ouvrez la console dans une fenêtre de navigation privée, puis cliquez sur Download Certificate.
Supprimer un certificat client SSL
La suppression d'un certificat client SSL déconnecte tous les clients connectés au serveur SSL. Pour se reconnecter, les clients doivent rétablir leurs connexions SSL-VPN.
Par exemple, si un serveur SSL possède le Certificat 1 et le Certificat 2, la suppression du Certificat 1 déconnecte tous les clients utilisant l'un ou l'autre de ces certificats.
Les clients qui utilisaient le Certificat 1 doivent installer un autre certificat valide et rétablir une connexion SSL-VPN.
Les clients qui utilisaient le Certificat 2 peuvent se reconnecter en rétablissant la connexion SSL-VPN.
Connectez-vous à la console VPN Gateway.
Dans le volet de navigation de gauche, choisissez .
Dans la barre de navigation supérieure, sélectionnez la région du client SSL.
Sur la page SSL Clients, localisez le certificat client SSL à supprimer et cliquez sur Delete dans la colonne Actions.
Dans la boîte de dialogue Are you sure that you want to delete the client certificates?, vérifiez l'impact de cette action et cliquez sur Delete.
Créer et gérer des certificats client SSL via des appels API
Créez, interrogez et supprimez des certificats client SSL par programmation à l'aide du SDK Alibaba Cloud (Recommandé), de Alibaba Cloud CLI, de Terraform et du Resource Orchestration Service. Opérations API disponibles :
CreateSslVpnClientCert - Crée un certificat client SSL-VPN.
DeleteSslVpnClientCert - Supprime un certificat client SSL-VPN.
ModifySslVpnClientCert - Modifie le nom d'un certificat client SSL-VPN.
DescribeSslVpnClientCerts - Interroge les certificats client SSL-VPN que vous avez créés.
DescribeSslVpnClientCert - Interroge les détails d'un certificat client SSL-VPN spécifié.
FAQ
SSL-VPN prend-il en charge l'attribution d'une adresse IP privée fixe à un client ?
Non. Chaque fois qu'un client établit une connexion SSL-VPN, le système attribue dynamiquement une adresse IP privée disponible à partir du Client CIDR Block configuré sur le serveur SSL. L'adresse IP privée attribuée à un client peut changer après une déconnexion suivie d'une reconnexion. Aucune autre méthode ne permet d'attribuer une adresse IP privée fixe à un client. Si votre activité nécessite un contrôle d'accès basé sur les adresses, concevez vos règles autour du bloc CIDR client plutôt qu'autour des adresses IP individuelles des clients.
Un certificat client SSL unique limite-t-il le nombre de clients pouvant être connectés simultanément ?
Non. Plusieurs clients peuvent utiliser le même certificat client SSL pour se connecter simultanément, et il est impossible de restreindre un certificat à une connexion mono-utilisateur. Le nombre de connexions simultanées est plafonné par la spécification de connexion SSL de la passerelle VPN à laquelle appartient le serveur SSL, et non par le certificat. Si vous devez distinguer les utilisateurs individuels, créez un certificat client SSL distinct pour chaque utilisateur ou activez l'authentification à deux facteurs sur le serveur SSL.