17.9. 보안 SSL을 사용한 TCP/IP 토토 사이트 순위

17.9.1. 클라이언트 사용 인증서

클라이언트가 신뢰할 수 있는 인증서를 제공하도록 요구하려면 루트 인증 기관의 인증서(캘리포니아s) 데이터 디렉토리에 있는 파일을 신뢰합니다. 매개변수 설정ssl_ca_file에postgresql.conf새 파일 이름으로, 그리고 인증 옵션 추가클라이언트인증서=1해당하는 사람에게hostssl행pg_hba.conf. 그러면 인증서가 SSL 연결 시작 중에 클라이언트에서 요청되었습니다. (참조토토 사이트 순위 : 문서 : 9.3 : SSL 지원방법에 대한 설명 클라이언트에 인증서를 설정합니다.) 서버는 다음을 확인합니다. 클라이언트의 인증서는 신뢰할 수 있는 인증서 중 하나에 의해 서명됩니다. 인증 기관.

기존 루트에 토토 사이트 순위되는 중간 인증서 인증서도 파일에 나타날 수 있습니다.루트.crt다음에 저장하지 않으려면 클라이언트(루트 및 중간 인증서가 다음과 같다고 가정) 다음으로 생성됨v3_ca확장). 인증서 해지 목록(CRL) 항목도 확인됩니다. 매개변수ssl_crl_file설정되었습니다. (참조http://h41379.www4.hpe.com/doc/83final/ba554_90007/ch04s02.htmlSSL 인증서 사용을 보여주는 다이어그램.)

그클라이언트인증서옵션 포함pg_hba.conf모든 인증에 사용 가능 메소드(다음과 같이 지정된 행에만 해당)hostssl. 언제클라이언트인증서이다 지정되지 않았거나 0으로 설정되어 있어도 서버는 계속해서 확인합니다. 해당 CA 목록에 대해 클라이언트 인증서를 제시했습니다(있는 경우). 구성됨 — 그러나 클라이언트 인증서를 요구하지는 않습니다. 제시되었습니다.

클라이언트 인증서를 설정하는 경우 다음을 사용할 수 있습니다.인증서인증 방법을 사용하여 인증서는 사용자 인증을 제어하고 다음을 제공합니다. 연결 보안. 참조섹션 19.3.10자세한 내용은.

17.9.2. SSL 서버 파일 사용

표 17-2요약합니다 서버의 SSL 설정과 관련된 파일입니다. ( 표시된 파일 이름은 기본 또는 일반 이름입니다. 현지에서 구성된 이름은 다를 수 있습니다.)

파일서버.키, 서버.crt, 루트.crt및루트.crl(또는 구성된 대안 이름)은 서버 시작 중에만 검사됩니다. 그러니까 다시 시작해야 해 변경 사항이 적용되려면 서버에 문의하세요.

17.9.3. 인증서 생성

서버에 대한 간단한 자체 서명 인증서를 생성하려면 유효합니다. 365일 동안 다음을 사용하세요오픈SSL명령, 교체dbhost.yourdomain.com서버 호스트와 함께 이름:

openssl req -new -x509 -days 365 -nodes -text -out server.crt \
  -keyout server.key -subj "/CN=dbhost.yourdomain.com"

그럼 다음을 수행하세요:

토토 사이트 순위mod og-rwx server.key

서버는 권한이 다음과 같은 경우 파일을 거부하기 때문입니다. 이것보다 더 자유로워요. 생성 방법에 대한 자세한 내용은 서버 개인 키 및 인증서는 다음을 참조하세요.오픈SSL문서.

자체 서명된 인증서를 테스트에 사용할 수 있지만 인증 기관이 서명한 인증서(캘리포니아) (일반적으로 기업 전체 루트캘리포니아)를 사용해야 합니다. 생산.

신원을 확인할 수 있는 서버 인증서를 생성하려면 클라이언트가 먼저 인증서 서명 요청을 만듭니다. (CSR) 및 공개/개인 키 파일:

openssl req -new -nodes -text -out root.csr \
  -keyout root.key -subj "/CN=root.yourdomain.com"
토토 사이트 순위mod og-rwx root.key

그런 다음 루트 인증서를 생성하기 위한 키로 요청에 서명하세요. 권한(기본값 사용오픈SSL설정 파일 위치리눅스):

openssl x509 -req -in root.csr -text -days 3650 \
  -extfile /etc/ssl/openssl.cnf -extensions v3_ca \
  -signkey root.key -out root.crt

마지막으로, 새로운 루트에 의해 서명된 서버 인증서를 생성하십시오 인증 기관:

openssl req -new -nodes -text -out server.csr \
  -keyout server.key -subj "/CN=dbhost.yourdomain.com"
토토 사이트 순위mod og-rwx server.key

openssl x509 -req -in server.csr -text -days 365 \
  -CA root.crt -CAkey root.key -CAcreateserial \
  -아웃 서버.crt

서버.crt그리고서버.키서버에 저장되어야 하며루트.crt클라이언트에 저장되어야 합니다 클라이언트는 서버의 리프 인증서가 신뢰할 수 있는 루트 인증서로 서명되었습니다.루트.키다음에서 사용하려면 오프라인으로 저장해야 합니다. 미래의 인증서를 생성합니다.

다음을 포함하는 신뢰 체인을 생성하는 것도 가능합니다. 중간 인증서:

# 루트
openssl req -new -nodes -text -out root.csr \
  -keyout root.key -subj "/CN=root.yourdomain.com"
토토 사이트 순위mod og-rwx root.key
openssl x509 -req -in root.csr -text -days 3650 \
  -extfile /etc/ssl/openssl.cnf -extensions v3_ca \
  -signkey root.key -out root.crt

# 중급
openssl req -new -nodes -text -out 중간.csr \
  -keyout 중간.키 -subj "/CN=intermediate.yourdomain.com"
chmod og-rwx 중간.키
openssl x509 -req -in 중간.csr -text -days 1825 \
  -extfile /etc/ssl/openssl.cnf -extensions v3_ca \
  -CA root.crt -CAkey root.key -CAcreateserial \
  -out 중간.crt

#잎
openssl req -new -nodes -text -out server.csr \
  -keyout server.key -subj "/CN=dbhost.yourdomain.com"
토토 사이트 순위mod og-rwx server.key
openssl x509 -req -in server.csr -text -days 365 \
  -CA 중간.crt -CAkey 중간.키 -CAcreateserial \
  -아웃 서버.crt

서버.crt그리고중급.crt다음으로 연결되어야 합니다. 인증서 파일 번들로 구성되어 서버에 저장됩니다.서버.키서버에도 저장되어야 합니다.루트.crt클라이언트에 저장되어야 합니다 클라이언트는 서버의 리프 인증서가 신뢰할 수 있는 루트에 연결된 인증서 체인으로 서명됨 인증서.루트.키그리고중급.키사용하려면 오프라인으로 저장해야 함 향후 인증서를 생성할 때.