提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

【SSL】导入设备证书提示“导入证书失败,不能导入CRT格式证书”

|

问题描述

在【系统设置】-【系统配置】-【设备证书】导入证书时报错“SSL证书导入失败,没有证书请求,不能导入CRT格式证书,只能导入P12、pfx证书”

告警信息

根因

1、只有在设备生成证书请求,证书颁发机构根据设备的证书请求文件颁发的CRT/CER的证书才能直接导入,导入时选择处理未决的证书请求

2、设备没有生成证书请求时,证书颁发机构直接提供了证书,是不能直接导入CRT/CER格式的证书的,因为CRT/CER格式的证书并不包含私钥,不能直接作为设备证书。这种情况下只能导入P12、pfx格式的设备证书

解决方案

设备没有生成证书请求时,证书颁发机构直接提供了证书,一般会包含CRT/CER格式的证书和私钥文件,将CRT/CER格式的证书合成pfx格式的证书,然后再将pfx格式的证书导入即可。具体操作如下:

1、拿到证书颁发机构提供的证书,如图所示:
*.crt或者*.cer文件就是只有公钥的证书文件
*.key文件是证书私钥文件
*.csr文件是证书请求文件,申请SSL证书时需要提交给证书颁发机构的请求文件,这里我们用不到

2、打开如下网站,在网站上将*.crt文件和*.key文件合成pfx格式的证书
https://www.myssl.cn/tools/merge-pfx-cert.html
①使用notepad++ 打开*.key文件,将其内容复制,粘贴到图中输入框

将key文件内容复制到图中输入框

②使用notepad++ 打开*.crt/*.cer文件,将其内容复制,粘贴到图中输入框
注意:如果证书颁发机构提供了多张cer/crt证书,需要合成证书链再将其复制到上图输入框
具体操作见文末【建议与总结】

③最后输入pfx证书密码,密码自定义设置,然后点击合成pfx证书

④点击下载合成成功后的pfx证书


3、将合成之后的pfx证书导入设备
注意:导入证书时会重启svpn服务,导致所有ssl vpn用户掉线



建议与总结

以上案证书颁发机构只提供了一张证书,如果证书机构提供了多张证书,需要将其合成证书链再进行pfx证书的合成,一般都是需要合成证书链的,这样才能保证设备证书完全受信任
如下图所示,证书颁发机构提供了三张证书,roo1和root2分别是一级根证书和中级级根证书,server是服务器证书,我们需要将这三张证书合成一张cer/crt证书
1、分别打开三张证书,根据证书信息判断证书是一级根还是中级级根还是服务器证书

2、用notepadd++ 将如上三张证书一级根、中级根、服务器证书分别打开,然后新建一个ssl.txt文件
将三张证书的内容,以服务器证书、中级根、一级根的顺序从上到下粘贴到ssl.txt中
最后将ssl.txt修改后缀名改成ssl.cer或者ssl.crt即可,这就是最终完整的证书链

3、将合成后的ssl.cer或者ssl.crt按照以上案例中的方式和key文件合成pfx证书即可

sangfor_2410 发表于 2018-8-3 16:02
  
666:感恩:
余泳杰 发表于 2019-1-18 15:51
  
666 学习啦
水之蓝色 发表于 2020-12-6 08:07
  
学习一下!很详细
新手251470 发表于 2022-4-6 15:08
  
楼主的文章图文并茂,清晰易懂,看完这波操作可以轻松上手了,如遇到问题再向楼主请教~
新手626351 发表于 2023-7-4 09:11
  
坚持每日学习打卡!!!!!!!!!

我要分享
文档编号: 50875
作者: sangfor_2188
更新时间: 2019-07-15 11:23
适用版本: