Lab3.1
准备环境:
安装openssl工具
yum install –y
openssl
修改/etc/pki/tls/openssl.cnf将
dir
= ../../CA修改为/etc/pki/CA --指定工作的根目录(这里只要修改成/etc/pki/CA就可以了,也可以使用相对路径)
certificate =
$dir/newcerts
修改为$dir/my-ca.crt --证书文件所在的位置(公钥)
crl =
$dir/crl.pem修改为$dir/my-ca.crl
--证书吊销列表
private_key =
$dir/private/cakey.pem 修改为$dir/private/my-ca.key
修改生成证书时的默认值
修改为
在/etc/pki/CA文件夹中创建/etc/pki/tls/openssl.cnf中定义的目录
mkdir
/etc/pki/CA/certs crl newcerts
创建索引文件和序列号文件
产生私钥并修改权限为600
touch
/etc/pki/CA/index.txt
echo
01 > /etc/pki/CA/serial
lab3.2
安装dovecot
yum
install –y dovecot
修改/etc/dovecot.conf配置文件修改为使用加密的协议
将protocols = pop pop3s imap imaps修改为
protocols=imaps(将前面的注释取消)
重启dovecot
service dovecot restart
复制出创建证书的脚本
cp
/usr/share/doc/dovecot-version/examples/mkcert.sh
编辑脚本文件将默认的
OPENSSL=${OPENSSL-openssl}
SSLDIR=${SSLDIR-/etc/pki/dovecot}
OPENSSLCONFIG=${OPENSSLCONFIG-/etc/pki/dovecot/dovecot-openssl.cnf}
修改为
OPENSSL=/usr/bin/openssl
SSLDIR=/etc/pki/dovecot
OPENSSLCONFIG=/etc/pki/tls/openssl.cnf
删除公钥和私钥
rm
/etc/pki/dovecot/certs/dovecot.pem
/etc/pki/dovecot/proivate
然后执行创建证书的脚本
sh
mkcert.sh
重启dovecot服务,使配置生效
service dovecot restart
利用mutt测试(普通用户,root用户不成功)
创建.mutt的配置文件的文件夹
mkdir
.mutt
编辑mutt配置文件
vim
muttrc
set
folder=imaps://cacti.example.com
set
spoolfile=imaps://cacti.example.com
set
imap_force_ssl=yes
然后使用mutt连接,会提示证书信息,按o
Lab3.3
利用CA服务器生成一个新的RSA密钥对,并修改权限为600
(umask
077;openssl genrsa 1024 >
dovecot.key)
生成一个证书请求文件
(umask
077;openssl req –new –key dovecot.key –out dovecot.csr)
查看证书
openssl req –in dovecot.csr –noout –text
在CA服务器上签署证书
openssl ca –in dovecot.csr –out dovecot.crt
在/etc/pki/CA/index.txt中查看证书的信息
cat
/etc/pki/CA/index.txt
V表示可用的R表示吊销的
将生成的公钥和私钥复制到dovecot的证书目录下
cp
~/dovecot.key /etc/pki/dovecot/private/dovecot.pem
cp
~/dovecot.crt /etc/pki/dovecot/certs/dovecot.pem
重启dovecot服务
Lab3.4
如果不提示证书需要将/etc/pki/CA/my-ca.crt复制到非root账户的~/.mutt/下
(如果提示没权限,可以使用root复制)
同时在~/.mutt/muttrc中添加
set
certificate_file=~/.mutt/my-ca.crt
Lab3.5
在火狐浏览器中导入CA证书
选择编辑—首选项—高级—加密—查看证书—导入
导入CA证书(在/etc/pki/CA下)
查看证书序列号和主题
openssl x509 –in /etc/pki/dovecot/certs/dovecot.pem –noout
–serial –subject
现在的/etc/pki/CA/serial已经变为02
查看/etc/pki/CA/index.txt
状态是V
cat
/etc/pki/CA/index.txt
吊销证书
openssl ca –revoke /etc/pki/CA/newcerts/01.pem
查看/etc/pki/CA/index.txt
状态变为R
产生吊销列表
echo
00 > /etc/pki/CA/crlnumber
cd
/etc/pki/CA/crl
openssl ca –gencrl –out my-ca.crl
查看证书吊销列表
openssl crl –in my-ca.crl –noout –text
将吊销列表转换成firefox或者是雷鸟可以识别的格式(DER格式)
openssl crl –in my-ca.crl –outform DER –out
my-ca-der.crl
浏览器导入吊销列表
选择撤销列表
选择导入
填写吊销列表网络访问路径