NETCONF Call Home 会话

生成证书颁发机构

1. 在任何 Linux/FreeBSD 系统上，生成证书颁发机构签名密钥。

   例如，以下命令创建单独的 CA 签名密钥，用于对用户证书和主机证书进行签名。

2. 将网络管理系统配置为信任主机 CA。

   复制主机 CA 公钥的内容，并将其添加到全局或用户的 SSH 已知主机文件中，以将其标记为受信任的 CA。在以下示例中，我们将复制主机 CA 公钥内容并添加到 @cert-authority * host-ca-public-key 用户的 known_hosts 文件中。

   注意：

   网管通过主机CA公钥验证主机证书。要仅信任特定主机或域的证书，请将通配符 （*） 替换为相应的主机或域名。

3. 将用户 CA 公钥复制到 Junos 设备。

   例如：

4. 在 Junos 设备上，将用户 CA 公钥配置为受信任的 CA 密钥。

   以下示例将存储在 user_ca.pub 文件中的 CA 公钥添加为受信任的用户 CA 密钥。

   配置此语句时，设备会将用户 CA 公钥添加到 /var/etc/ssh_trusted_user_ca.pub 文件中。Junos 设备在建立 SSH 会话期间使用用户 CA 公钥验证用户证书。

生成用户证书

要为 NETCONF 客户端生成 SSH 证书，请执行以下操作：

1. 在客户端 NMS 上，为用户生成 SSH 密钥对。

   例如：

2. 如果设备不同，请将用户的公钥复制到具有 CA 签名密钥的 CA 服务器。

3. 生成用户证书。

   使用用户 CA 私钥对用户的公钥进行签名，并指定可以使用此证书访问 Junos 设备的授权主体（用户）列表。

   以下命令使用存储在 user_ca 中的 CA 私钥对存储在 id_rsa.pub 中的用户公钥进行签名。该证书对两个主体有效：lab 和 netconf-user。

4. 验证是否已创建用户证书。

   在上一步中，命令创建 id_rsa-cert.pub 文件。

5. 如果设备不同，请将用户证书复制到网络管理系统。

6. 确保用户证书、文件所有者和权限正确无误。

7. 将 SSH 密钥和证书标识添加到 ssh 代理应用程序（如果它们不是自动添加的）。例如：

生成主机证书

Junos 设备将 SSH 密钥存储在 /etc/ssh 目录中。要生成主机证书，请先将主机的公钥复制到 CA 服务器，然后使用主机 CA 私钥对主机公钥进行签名。

1. 在 Junos 设备上，验证主机公钥。

2. 将 Junos 设备的公钥复制到具有 CA 签名密钥的 CA 服务器。

3. 生成主机证书。

   使用主机 CA 私钥对主机的公钥进行签名，并指定 -h 创建主机证书的选项。

   以下命令使用存储在 host_ca 中的 CA 私钥对存储在 ssh_host_rsa_key.pub 中的主机公钥进行签名。

4. 验证是否已创建主机证书。

   在上一步中，命令创建 ssh_host_rsa_key-cert.pub 文件。

5. 将主机证书复制到 Junos 设备。

   例如：

6. 在 Junos 设备上，配置主机证书。

   配置此语句时，设备会将主机证书添加到 /var/etc/ssh_host_ca.pub 文件中。

配置授权委托人

用户证书可以绑定到特定用户或主体。Junos 设备要求用户证书指定一个或多个授权主体。还必须在 Junos 设备上配置授权主体。如果设备上配置的至少一个授权主体与证书中的授权主体匹配，则 Junos 设备将对证书进行身份验证。

您可以使用多种方法配置授权主体列表。您可以加载一个文件，其中包含授权主体列表，每个主体位于单独的行上。您也可以直接在配置中配置授权主体列表。

要配置授权主体，请执行以下操作：

1. （选答）创建授权主体文件并将其复制到 Junos 设备。

2. 配置可使用 SSH 证书访问系统的授权主体。

   • 要加载包含已授权主体的文件，请配置 authorized-principals-file 语句并指定要加载的文件的路径。

     例如：

   • 要直接在配置中配置一个或多个授权主体，请使用语 authorized-principals 句并指定主体名称或主体名称列表。

     例如：

3. 提交配置。

   配置授权主体时，设备会将授权主体列表添加到 /var/etc/ssh_authorized_principals 文件中。