通过Web网管登录设备简介

HTTP

HTTP是Hypertext Transfer Protocol（超文本传输协议）的简称，它用来在Internet上传递Web网页文件信息。HTTP位于TCP/IP协议栈的应用层，传输层采用面向连接的TCP。HTTP存在安全风险，目前设备仅支持通过安全HTTP（即HTTPS）登录Web网管，不支持通过HTTP登录Web网管。

HTTPS

HTTPS是Secure HTTP的简称，即安全HTTP。HTTPS通过安全套接层协议SSL（Secure Sockets Layer），使客户端与设备之间交互的数据经过加密处理，并为设备制定基于证书属性的访问控制策略，提高了数据传输的安全性和完整性，保证合法客户端可以安全地访问设备，禁止非法的客户端访问设备，从而实现了对设备的安全管理。

SSL策略

在配置HTTPS之前，需要在设备上部署SSL策略，并加载相应的数字证书。SSL策略是指设备启动时使用的SSL参数。只有与应用层协议（如HTTP协议）关联后，SSL策略才能生效。

数字证书

数字证书是由CA签发的一个声明，证明证书主体（证书申请者拥有了证书后即成为证书主体）与证书中所包含的公钥的惟一对应关系。数字证书中包括证书申请者的名称及相关信息、申请者的公钥、签发数字证书的CA的数字签名及数字证书的有效期等内容。数字证书使网上通信双方的身份得到了互相验证，提高了通信的可靠性。

设备可以加载PEM、ASN1和PFX三种格式的数字证书文件。不同格式的数字证书文件的内容是一样的。

• PEM是最常用的一种数字证书格式，文件的扩展名是.pem，适用于系统之间的文本模式传输。
• ASN1是通用的数字证书格式之一，文件的扩展名是.der，是大多数浏览器的默认格式。
• PFX是通用的数字证书格式之一，文件的扩展名是.pfx，是可移植的二进制格式，可以转换为PEM或ASN1格式。

CA（Certificate Authority）

CA是发放、管理、废除数字证书的机构。CA的作用是检查数字证书持有者身份的合法性，并签发数字证书（在证书上签字），以防证书被伪造或篡改，以及对证书和密钥进行管理。国际上被广泛信任的CA，被称之为根CA。根CA可授权其它CA为其下级CA。CA的身份也需要证明，证明信息在信任证书机构文件中描述。

例如：CA1作为最上级CA也叫根证书，签发下一级CA2证书，CA2又可以给它的下一级CA3签发证书，以此下去，最终由CAn签发服务器的证书。

如果服务器端的证书由CA3签发，则在客户端验证证书的过程从服务器端的证书有效性验证开始。客户端先由CA3证书验证服务器端证书的有效性，如果通过则再由CA2证书验证CA3证书的有效性，最后由最上级CA1证书验证CA2证书的有效性。只有通过最上级CA证书即根证书的验证，服务器证书才会验证成功。

证书签发过程与证书验证过程如图6-1所示。

图6-1 证书签发过程与证书验证过程示意图

证书撤销列表CRL（Certificate Revocation List）

CRL由CA发布，它指定了一套证书发布者认为无效的证书。

数字证书的寿命是有限的，但CA可通过证书撤销过程缩短证书的寿命。CRL指定的寿命通常比数字证书指定的寿命要短。由CA撤销数字证书，意味着CA在数字证书正常到期之前撤销允许使用密钥对的有关声明。在撤销证书到期后，CRL中的有关数据被删除，以缩短CRL列表的大小。