day08、3 - PKI实验

一、KPI综合实验说明

1.实验概述

• 实验内容：发布网站使用域名访问，且可以实现https访问网页
• 实验所需服务器：IIS之WEB服务器、DNS服务器、CA服务器

2.实验原理

1）https服务什么

• https服务：本质上就是要使用SSL加密技术，在 HTTP 的基础下加入SSL，HTTPS 的安全基础是 SSL

2）为何部署CA服务器

• 我们搭建一个网站服务器，但是默认只能提供80端口服务（http服务），希望升级为443（https服务），本质上就是要使用SSL加密技术，那么需要PKI的帮助，而PKI中有一项内容为CA来公正，所以需要安装CA服务器

3）CA服务器满足要求

• 安装CA服务器注意：因为CA公证需要通过网页的形式提供一个服务窗口（注册窗口），那么CA也必须要搭建WEB服务器（IIS），发布CA公证所需网页，而且与用户间要交互，所以安装IIS服务器必须还要勾选动态服务扩展和插件
• CA服务器搭建好后，为用户提供网页形式的注册窗口，会自动放到IIS默认web站点中（即c:\inetp\wwwroot），通过默认站点路径发布CA的网站

4）DNS服务器部署

• 需要通过域名访问发布的站点，所以需要再部署DNS服务器给网站添加域名解析

5）KPI的应用

• 通信双发：web服务器与客户端
• KPI的组成：公钥加密技术、数字证书、CA、RA
  • 公钥加密技术：使用https（SSL加密技术）。用https协议通信，浏览器与服务器的通信信息都是加密传输的
  • 数字证书：CA服务器颁发证书给发布网页的web服务器；CA服务器颁发证书给客户机
  • CA即我们搭建的CA服务器（现实中我们应该去权威的国家CA认证机构去申请证书，这里是模拟实验）

二、搭建HTTPS服务器过程

1.搭建WEB服务器发布网页

实验环境：
1）win2008作为https服务器：10.1.1.1/24（即把win2008同时部署成WEB服务器、CA服务器、DNS服务器）
2）win7作为客户机：10.1.1.2/24
3）桥接到虚拟网络vmenet1

1）安装IIS服务器，并发布网页

• 注意：安装IIS必须勾选动态服务扩展和插件

  

• 右键网站–添加网站–发布的网站为game，通过域名www.game.com访问，这里目前还选不了https服务，因为此IIS服务器没有数字证书

  

• 为网站添加首页

  

2）搭建DNS服务器

• 新建正向查找区域取名为game.com，新建主机A记录，添加一条解析记录www.game.com 10.1.1.1

  

3. 客户端可以通过http服务，使用www.game.com访问此网站

   客户端目前需要和web服务器在同一个局域网，且指向刚创建的DNS服务器（因为这些都是虚拟中模拟的，并没有在运营商那里登记注册记录这些网站的合法性，那么这个game网站的域名解析只能通过自己的dns创建）

   

2.搭建CA服务器

1. 搭建CA服务器：安装Active Directory 证书服务

   • 一定要勾选证书颁发机构Web注册（因为搭建CA服