View_5.2安全服务器和连接服务器的SSL配置------精讲

1、View 5.2 连接服务器和安全服务器的SSL配置作者:macro宋晓东（修改）Email:macrosongxiaodong 日期:2012.6.5 2014.02.10目录配置环境:21.在server上用keytool生成pkcs12密钥文件22.发送到CA申请WEB服务器证书33.将申请好的证书转换为PKCS#12格式54.导入签名证书到密钥文件85.在View server安装路径sslgatewayconf下建立perties 文件中96.把keys.p12导入到本地计算机证书97.修改证书友好名称,导入根CA信任138.重启connection server

2、服务器或服务149.测试1410.关于为什么一定要勾选”标志此米要为可导出的密钥”!15此文是在作者macro的“view_5.1_connection_server的SSL配置“的文档基础上改编。其主要核心部分还是macro的，我主要是根据自己实践后的结果，对部分步骤加以补充。使实施者能够最方便的看懂此文档。同时在此感谢macro.*注意问题*CA本身是区分大小写的。*CA可以配置基于主机名、完整FQDN名、IP地址进行证书分配，但最好是在前期规划的服务器域名要和公网要分配的主机名一致，同时在连接服务器IE配置页面服务器配置要使用完整的FQDN名称。否则会出现使用VIEW client 连接

3、时正常，但是进入connection连接服务器配置页面会发现安全服务器还是处于不可信任状态。安全服务器一般部署到DMZ区域，所以不能将安全服务器加入到域中，要想成功安装安全服务器的SSL证书，则首先要保证安全服务器本身安装了CA的根证书。*CONNECTION Security server DNS必须将两个网卡的DNS设置成AD的地址。否则可能出现解析域名的问题。配置环境:Connection server ->windows server 2008r2 entripse微软企业根CA ->windows server 2008r2 entripseCA服务器要求：1. IIS

4、2. Certification Authority(证书颁发机构单位) 3. Certification Authority Web Enrollment(证书颁发机构单位Web 注册)如下图：connection server, CA搭建就不表了*Keytool路径在view server安装目录下/jr/bin（一般直接将此目录填入PATH变量中），如下图：*建议证书的路径放在同一目录操作注意一下操作都是基于以下目录操作：1.在server上用keytool生成pkcs12密钥文件keytool -genkey -keyalg "RSA" -keystore keys

5、.p12 -storetype pkcs12 -validity 360keytool来创建CSRkeytool -certreq -keyalg "RSA" -file certificate.csr -keystore keys.p12 -storetype pkcs12 storepass 123abc用记事本打开certificate.csr2.发送到CA申请WEB服务器证书用记事本打开certificate.csr,如上图然后用浏览器打开CA地址 一般是https;/CA IP地址/certsrv申请证书高级证书申请使用 base64 编码的 CMC 或 PKCS

6、 #10 文件提交 一个证书申请，或使用 base64 编码的 PKCS #7 文件续订证书申请下载证书 (使用Base64编码)下载回来的证书3.将申请好的证书转换为PKCS#12格式双击上个步骤中下载的证书点击详细信息à复制到文件导出为PKCS#7格式,包含证书路径中所有的证书导出文件名为certnew.p7b4.导入签名证书到密钥文件 keytool -importcert -keystore keys.p12 -storetype pkcs12 -storepass 密码 -keyalg "RSA" -trustcacerts -file 刚才导出的文件然

7、后出现. 是不可信的。 还是要安装回复？ 否：的提示 输入y 回车5.在View server安装路径sslgatewayconf下建立perties 文件中内容如下keyfile=keys.p12keypass=密码storetype=pkcs126.把keys.p12导入到本地计算机证书开始-运行-MMC-添加/删除管理单元添加证书 选择计算机帐户本地计算机导入keys.p12一定要勾选”标志此密钥为可导出的密钥”!7.修改证书友好名称,导入根CA信任下图第一个证书是根CA信任证书,第二个是通过CA申请到的SSL证书,第三个是view自签名证书首先把根CA拖拉到受信任的

8、根证书颁发机构view自签名证书的友好名称为vdm, 把他改为其他名字通过CA申请到的SSL证书的友好名称改为vdm8.重启connection server服务器或服务Net stop wsbroker Net start wsbroker9.测试443端口起来了访问view connection server控制台 查看是否正常10.关于为什么一定要勾选”标志此米要为可导出的密钥”!之前测试的时候,443端口一直起不来,也就无法访问控制台,dump log如下:2012-06-05T16:54:50.565+08:00 INFO (0C7C-0D64) <Thread-1> u

9、 The Secure Gateway Server is checking for connection attempts on http:/*:802012-06-05T16:54:50.596+08:00 INFO (0C7C-0D64) <Thread-1> u The Secure Gateway Server is using SSL certificate store of type KeyVault2012-06-05T16:54:51.205+08:00 ERROR (0C7C-0D64) <Thread-1> u Couldn't creat

10、e SSL socket factory com.vmware.vdi.ice.server.u.a(SourceFile:529)java.lang.NullPointerException: invalid null inputat java.security.KeyStore$PrivateKeyEntry.<init>(KeyStore.java:361)at com.vmware.vdi.ice.server.KeyVaultKeyStore.engineGetEntry(SourceFile:241)at java.security.KeyStore.getEntry(

11、KeyStore.java:1261)at com.vmware.vdi.ice.server.u.a(SourceFile:578)at com.vmware.vdi.ice.server.u.a(SourceFile:525)at com.vmware.vdi.ice.server.u.b(SourceFile:210)at com.vmware.vdi.ice.server.e.a(SourceFile:77)at com.vmware.vdi.ice.server.Ice.startServer(SourceFile:1061)at sun.reflect.NativeMethodAc

12、cessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at com.sun.jmx.mbeanserver.StandardMBeanIntrospe

13、ctor.invokeM2(StandardMBeanIntrospector.java:93)at com.sun.jmx.mbeanserver.StandardMBeanIntrospector.invokeM2(StandardMBeanIntrospector.java:27)at com.sun.jmx.mbeanserver.MBeanIntrospector.invokeM(MBeanIntrospector.java:208)at com.sun.jmx.mbeanserver.PerInterface.invoke(PerInterface.java:120)at com.

14、sun.jmx.mbeanserver.MBeanSupport.invoke(MBeanSupport.java:262)at erceptor.DefaultMBeanServerInterceptor.invoke(DefaultMBeanServerInterceptor.java:836)at com.sun.jmx.mbeanserver.JmxMBeanServer.invoke(JmxMBeanServer.java:761)at com.vmware.vdi.ice.server.JMXServer.main(SourceFile:195)at

15、sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at pero.workspa

16、ce.windowsinfrastructure.tunnelservice.TunnelService.run(SourceFile:46)at java.lang.Thread.run(Thread.java:662)2012-06-05T16:54:51.205+08:00 FATAL (0C7C-0D64) <Thread-1> Ice ICE start com.vmware.vdi.ice.server.Ice.startServer(SourceFile:1063)java.lang.IllegalArgumentException: socketFactory mu

17、st be suppliedat com.vmware.vdi.ob.tunnelservice.bm.a(SourceFile:559)at com.vmware.vdi.ob.tunnelservice.bm.a(SourceFile:379)at com.vmware.vdi.ice.server.u.b(SourceFile:210)at com.vmware.vdi.ice.server.e.a(SourceFile:77)at com.vmware.vdi.ice.server.Ice.startServer(SourceFile:1061)at sun.reflect.Nativ

18、eMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at com.sun.jmx.mbeanserver.StandardMBea

19、nIntrospector.invokeM2(StandardMBeanIntrospector.java:93)at com.sun.jmx.mbeanserver.StandardMBeanIntrospector.invokeM2(StandardMBeanIntrospector.java:27)at com.sun.jmx.mbeanserver.MBeanIntrospector.invokeM(MBeanIntrospector.java:208)at com.sun.jmx.mbeanserver.PerInterface.invoke(PerInterface.java:12

20、0)at com.sun.jmx.mbeanserver.MBeanSupport.invoke(MBeanSupport.java:262)at erceptor.DefaultMBeanServerInterceptor.invoke(DefaultMBeanServerInterceptor.java:836)at com.sun.jmx.mbeanserver.JmxMBeanServer.invoke(JmxMBeanServer.java:761)at com.vmware.vdi.ice.server.JMXServer.main(SourceFil

21、e:195)at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at per

22、o.workspace.windowsinfrastructure.tunnelservice.TunnelService.run(SourceFile:46)at java.lang.Thread.run(Thread.java:662)2012-06-05T16:54:51.236+08:00 FATAL (0C7C-0D64) <Thread-1> JMXServer Could not start the Ice Server MBean com.vmware.vdi.ice.server.JMXServer.main(SourceFile:197)javax.manage

23、ment.MBeanException: java.lang.Exception: ICE Start: socketFactory must be suppliedat com.sun.jmx.mbeanserver.MBeanIntrospector.unwrapInvocationTargetException(MBeanIntrospector.java:283)at com.sun.jmx.mbeanserver.MBeanIntrospector.invokeM(MBeanIntrospector.java:210)at com.sun.jmx.mbeanserver.PerInt

24、erface.invoke(PerInterface.java:120)at com.sun.jmx.mbeanserver.MBeanSupport.invoke(MBeanSupport.java:262)at erceptor.DefaultMBeanServerInterceptor.invoke(DefaultMBeanServerInterceptor.java:836)at com.sun.jmx.mbeanserver.JmxMBeanServer.invoke(JmxMBeanServer.java:761)at com.vmware.vdi.i

25、ce.server.JMXServer.main(SourceFile:195)at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.in

26、voke(Method.java:597)at pero.workspace.windowsinfrastructure.tunnelservice.TunnelService.run(SourceFile:46)at java.lang.Thread.run(Thread.java:662)Caused by: java.lang.Exception: ICE Start: socketFactory must be suppliedat com.vmware.vdi.ice.server.Ice.startServer(SourceFile:1064)at sun.refle

27、ct.NativeMethodAccessorImpl.invoke0(Native Method)at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:39)at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:25)at java.lang.reflect.Method.invoke(Method.java:597)at com.sun.jmx.mbeanserver.StandardMBeanIntrospector.invokeM2(StandardMBeanIntrospector.java:93)at com.sun.jmx.mbeanserver.StandardMBeanIntrospector.invokeM2(StandardMBeanIntrospector.java:27)at co