Anti-DDoS:Use Anti-DDoS Proxy to deploy mutual authentication

Método 2: Gerar certificados de cliente usando certificados de CA autoassinados

Certificados de CA raiz autoassinados e de CA intermediária autoassinados são suportados. Este exemplo utiliza um certificado de CA raiz autoassinado.

O nome comum (CN) no certificado da CA deve ser diferente dos nomes no certificado do cliente e no certificado do servidor. Além disso, cada certificado de cliente deve ter um CN exclusivo — diferente do certificado do servidor, do certificado da CA raiz e de todos os outros certificados de cliente. CNs duplicados causam falhas na validação do certificado.

Etapa 2a: Gerar um certificado de CA raiz autoassinado

1. Gere uma chave privada da CA raiz:

   openssl genrsa -out root.key 4096

2. Crie uma solicitação de assinatura de certificado (CSR) para a CA raiz:

   openssl req -new -out root.csr -key root.key

   Quando solicitado, insira os campos do certificado. Exemplo:

   Country Name (2 letter code) [XX]:cn
   State or Province Name (full name) []:bj
   Locality Name (eg, city) [Default City]:bj
   Organization Name (eg, company) [Default Company Ltd]:alibaba
   Organizational Unit Name (eg, section) []:test
   Common Name (eg, your name or your servers hostname) []:root
   Email Address []:a****@example.com
   A challenge password []:
   An optional company name []:

3. Gere o certificado da CA raiz:

   openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650

   Exemplo de saída:

   

4. Verifique os arquivos gerados:

   ls

   Confirme se root.crt (certificado da CA raiz) e root.key (chave privada da CA raiz) estão presentes. Baixe esses arquivos para o seu computador local — você fará o upload deles no Certificate Management Service em uma etapa posterior.

Etapa 2b: Gerar certificados de cliente a partir da CA raiz

1. Gere uma chave privada de cliente:

   openssl genrsa -out client.key 4096

2. Crie uma CSR para o certificado de cliente:

   openssl req -new -out client.csr -key client.key

   Quando solicitado, insira os campos do certificado. O CN deve ser exclusivo — diferente da CA raiz, do certificado do servidor e de quaisquer outros certificados de cliente:

   Country Name (2 letter code) [XX]:cn
   State or Province Name (full name) []:bj
   Locality Name (eg, city) [Default City]:bj
   Organization Name (eg, company) [Default Company Ltd]:alibaba
   Organizational Unit Name (eg, section) []:test
   Common Name (eg, your name or your servers hostname) []:client-alb-user
   Email Address []:username@example.com
   A challenge password []:
   An optional company name []:

3. Assine o certificado de cliente usando a CA raiz:

   openssl x509 -req -in client.csr -out client.crt -CA root.crt -CAkey root.key -CAcreateserial -days 3650

   Exemplo de saída:

   

4. Converta o certificado de cliente para o formato PKCS12 (.p12) para que os navegadores possam reconhecê-lo. Insira a senha de criptografia da chave privada do cliente quando solicitado:

   openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

5. Verifique a saída:

   ls

   Confirme se client.p12 está presente. Baixe o arquivo para o seu computador local para distribuir aos clientes posteriormente.

Etapa 2c: Carregar o certificado de CA raiz autoassinado no Certificate Management Service

1. Faça login no console do Certificate Management Service.

2. No painel de navegação à esquerda, escolha Certificate And Domain Name Application Service > Certificate Application Repository.

3. Na página Certificate Application Repository, clique em Create Repository. No painel, defina Data Source como Upload CA Certificates e clique em OK.

   

4. Clique no repositório de certificados recém-criado.

5. Na página Official Certificate, clique em Uploaded Certificate. No painel CA Information, faça o upload de root.crt e clique em Confirm and Enable.