首创安泰人寿保险SSL配置报告文档格式.docx
《首创安泰人寿保险SSL配置报告文档格式.docx》由会员分享,可在线阅读,更多相关《首创安泰人寿保险SSL配置报告文档格式.docx(25页珍藏版)》请在冰豆网上搜索。
![首创安泰人寿保险SSL配置报告文档格式.docx](https://file1.bdocx.com/fileroot1/2023-1/1/48981dc0-f82a-49d3-9e14-0cfff02dd3d6/48981dc0-f82a-49d3-9e14-0cfff02dd3d61.gif)
●IBMRServerforiSeries,5722-DG1
●DeveloperKitforJavaTM,5722-JV1
●ClientEncryptionproduct,5722CE3(128-bit)
●iSeriesAccess5.2+WindowsXP/Windows2000
2)PTF反省
●下面是目前有效的最新版本的5.2版本groupPTFlist
●SSL自身并没有明白地PTF要求,但由于在实施SSLTelnet的进程中触及TCP/IP,,DigitalCertificateManager,Encryption,Print,Java和DB2,iSeriesAccess等产品,建议装置以下版本的PTF
⏹SF99502level24
⏹SF99313level6
⏹SF99098level20
⏹SF99345level5
⏹SF99169level26
⏹SF99520Cum06080520
注:
打PTF虽然是系统维护很重要的一个手腕,但并不是必需的。
在业务和运用允许的条件下,最好晋级到最新的补丁级别。
但假设在现有系统的环境下,配置和运用没有效果〔最好经过严厉测试〕,那么没有打PTF的必要。
3)DCM配置
<
1.>
启动Server
a)CHGACCSID(1381)
b)STRTCPSVR*SVR(*ADMIN)
c)WRKSBSJOBQSVR,反省QSVR子系统下作业
WorkwithSubsystemJobsS653924B
07/01/1813:
23:
06
Subsystem..........:
QSVR
Typeoptions,pressEnter.
2=Change3=Hold4=End5=Workwith6=Release7=Displaymessage
8=Workwithspooledfiles13=Disconnect
OptJobUserType-----Status-----Function
ADMINQTMHBATCHACTIVEPGM-QZHB
ADMINQTMHBATCHIACTIVEPGM-QZSRLOG
ADMINQTMHBATCHIACTIVEPGM-QZSR
2.>
登录Admin管理端口2001
输入400管理用户
选择数字证书管理器
进入‘数字证书管理器‘主页面,选择‘创立认证中心‘
输入有效信息
这里我们假定从未在400上运用过CA,否那么看不到‘创立认证中心〔CA〕‘菜单项。
假设这时分选择’观察证书存储库‘
选择继续
修正LocalCA战略,这里要求localCA可以颁发用户证书,由localCA颁发的证书的有效期为1年〔365天〕
选择继续,到此localCA的设置完毕,下面是设置*SYSTEM证书存储库
填入参数,选择继续
这是十分重要的一页,在选择信任*SYSTEM证书的客户端运用顺序的时分,必需慎重,原那么上我们只把需求SSL通讯的运用作上标志。
这里我们选择TELNET,Central,SignOn3个TCP/IP运用。
到此为止,*SYSTEM证书管理器的设置完毕,下面末尾设置*OBJECTSIGNING
选择继续〔telnet曾经信任SYSTEMCA〕
选择确定
这时又前往到初始界面,一切的localca和certificatestore的配置完毕,系统证书也曾经自动生成。
4)iSeriesAccess配置
-装置SSL
⏹映射//21.5.254.121/QIBM/ProdData/CA400为PC网络目录
⏹执行iSeriesAccess的选择性装置
⏹选择装置目录为下面映射的网络目录
⏹选择添加SSL功用的装置
-装置si27938ServicePack
-下载SystemlocalCA证书
⏹翻开操作导航器
⏹选择400衔接
⏹单击鼠标右键,选择iSeriesAccess属性,选择平安套接字页面
选择下载.
默许状况下,iSeriesAccess将运用c:
\documentsandsettings\AllUsers\Documents\IBM\ClientAccess\cwbssldf.kdb作为证书管理文件,默许的文件打启齿令是ca400.
下载证书并更新cwbssldf.kdb
选择OK
封锁操作导航器,偏重新翻开
留意,只需hostserver或telnet实施了ssl配置,在operationnavigator里看到的衔接图标会加上锁的标志,代表平安衔接。
翻开5250衔接
默许5250是非平安telnet,衔接端口23。
选择’properties‘
选择useSecuredsocketslayer(SSL)
这里的联接端口自动改为992
选择OK
在消费机上04/03配置一次成功,测试机配置04/04配置成功。
效果剖析:
✧测试机992端口无法激活
现象:
telnet默许运用23〔普通端口〕和992〔ssl通讯端口〕停止通讯。
但在测试机上发现992端口没有处于listening形状。
剖析:
telnet-ssl激活需求以下条件:
⏹telnet效劳启动参数允许启动ssl
⏹系统上装置了5722AC3加密软件
留意5722CE3是为iSeriesClientAccess5.2提供SSL功用的LPP,他的作用仅限于pc客户端。
从iSeriesClientAccess5.3末尾曾经内嵌SSL功用了,5722CE3在5.3曾经被撤销。
即使在5.2上,5722CE3能否装置对telnet-SSL的启动也没有影响
即使在LocalCA的*SYSTEMcertificatestore中没有对TELNET效劳停止认证管理,也不影响Telnet-SSL的启动。
当然不经过*SYSTEMcertificatestore的管理,客户端是无法经过992衔接到400的。
处置方法:
反省telnetserverjob的joblog
从qtvtelnet的joblog开看,telnetserver在启动的时分试图启动992端口,但是启动失败了。
从启动时间看,telnetserver在启动的时分,400还没有装置5722AC3。
也就是不满足telnet-ssl启动的基本条件。
ENDTCPSVR*TELNET=〉STRTCPSVR*TELNET,992端口启动成功。
✧消费机在独自开放*TELNET认证以后,无法从客户端停止SSL认证
依照规范步骤在LocalCA中只开放了TELNET的认证,但是在客户端验证SSL通讯的时分失败。
由于iSeriesClientAccess在停止SSL验证时分,除了要经过telnet通讯以外,还需求经过hostserver与400停止通讯。
从实际上讲至少需求将SIGNONSERVER,SERVERMAP和TELNET都开放,为了方便,我们把*SYSTEM里一切的通讯都停止了localCA的认证。
再次测试,ssl测试成功,客户端衔接也成功。
✧测试机无法经过TELNET的SSL测试
初次测试失败后,将一切的Certificatestore都删除重新配置,效果照旧
反省telnet属性
qtvtelnet作业joblog
从错误现象看,是SSL双方停止在停止证书验证的时分,客户端下载的localCA公钥与400localCA的私钥不婚配。
但是反省证书的内容和发布信息都完全正确。
最后发现是在400DCM的目录下出现了一个合法目录,出现了一个../icss/cert/signing■
应用DLTDIR将有效目录删除。
然后将一切的certificateStore都删除后重新树立,测试衔接成功。
备注:
由于目前的需求只需求telnet通讯加密,我们是依照server双方认证的方法停止配置。
假设要求对客户端也停止认证那么需求停止server和user的双方认证。