M9000防火墙需要进行证书认证登录，如何生成cer证书文件？

证书需要跟CA机构去申请的

在H3C M9000防火墙上配置证书认证登录，核心是需要准备CA证书和服务器证书，而生成.cer文件通常是指从CA机构获取或从设备自签名证书中导出。

 需要哪些证书文件？

配置证书认证登录，主要涉及以下两种证书文件：

通常，你需要将CA证书和服务器证书都导入到M9000防火墙的PKI域中。

 如何生成或获取.cer证书文件？

生成.cer文件主要有以下两种方式：

方式一：向权威CA机构申请（推荐用于生产环境）
这是最正规的方式，证书受浏览器和操作系统信任。

1. 在防火墙上生成密钥对和CSR：通过命令行生成RSA密钥对，并创建证书签名请求（CSR）文件。

2. 提交CSR给CA机构：将CSR文件提交给权威CA机构（如DigiCert、GlobalSign等），申请证书。

3. 获取证书文件：CA机构审核通过后，会颁发证书文件给你。通常会得到CA证书（.cer或.crt格式）和服务器证书（可能是.cer或.pfx格式）。

方式二：使用自签名证书（适用于测试或内部环境）
如果仅用于内部测试，可以使用防火墙的自签名证书功能。

1. 生成自签名CA和本地证书：在M9000防火墙上通过PKI功能生成自签名的CA证书和本地服务器证书。

2. 导出证书：将生成的自签名证书从防火墙中导出。你可以使用FTP或SFTP从防火墙的/pki/目录下获取证书文件（例如https-server.p12），然后通过工具（如OpenSSL）将其转换为.cer格式。

 证书认证登录的核心配置步骤

在M9000上配置证书认证登录，大致遵循以下流程：

1. 配置PKI域：创建PKI域，并指定证书申请时使用的实体名称和密钥对。

2. 导入证书：将准备好的CA证书和服务器证书导入到防火墙的PKI域中。

   • 导入CA证书：pki import domain <域名> der ca filename <ca.cer>

   • 导入服务器证书：pki import domain <域名> pl2 local filename <server.pfx>

3. 配置SSL服务器端策略：创建SSL服务器端策略，并引用刚才配置的PKI域。

4. 应用策略并开启客户端验证：将SSL服务器端策略应用到HTTPS服务或SSL VPN网关，并启用客户端证书验证功能。这样，客户端（如浏览器）在访问时，就会被要求提供证书进行身份认证。

5. 创建本地用户：创建用于登录的本地用户，并设置其服务类型为https或sslvpn。