本帖最后由 东北区_黄佳奇 于 2023-8-3 20:43 编辑
一、打包
为了通过密评,国密设备实际上也需要打包三个。一定需要安装顺序打包。 01_20221102_CTI-Support_M7.6.7-M7.6.9R1_TD202102010394.ssu 02_20220107_CTI-Support_M7.6.8R2_TD202112292389.ssu 03_20221011_CTI-Support_M7.6.8R2_TD2022092800742.ssu 打包有问题请找400,另外包回退也需要找400。
二、证书导入(设备证书) 国密证书需要客户提供相关设备证书(签名证书以及加密证书) 一定是2个证书 签名证书 加密证书 证书导入SSLVPN设备中,此处的导入证书,不需要包含一级根以及二级根,进需要颁发证书私钥及公钥即可。 三、证书合并 1.先将一级根、二级根、签名证书合并,保存为sm2.crt 2.进入设备后台替换sm2.crt文件(此步请找400操作) /config/etc/sangfor/ssl/sm2.crt /sftmpfs/etc/sangfor/ssl/sm2.crt 文件替换前,请进行文件备份 3.删除证书链提高ECC等级打包 CommonGMBrowse 四、用户证书导入(密评) 密评测试需要使用国密KEY登录,所以需要导入国密KEY的根证书,并信任此证书。 UKEY动态库添加,由于是国密KEY,需要新增动态库文件。 建议使用Pyark,以测试的BJCA为例 安装厂商排序 将这些全部加进去。 在通过ChipGenius查看PID和VID
ChipGenius_v4_00_0027_pre2.zip
(145.2 KB, 下载次数: 3)
如下 五、客户端测试 2.导入国密根证书(一级根即可) 3.抓包-wireshark,下载最新版即可(如果端口非标准端口需要“编辑-首选项-协议-HTTP”,添加端口) 4.用户登录
5.测试查看报文
PS:在通过浏览器打开VPN用户页面的时候也会出现部分TLS数据,此数据为ECagent产生,此时的EC客户端不知道使用何种协议,需要获取设备类型,所以会发出TLS数据确认,一旦完成认证,将不会在出现任何TLS数据。 |