如何在AIX上简化和集中化IPSec管理

Root_CA 是所创建的新证书授权机构。

在创建根 CA 后，为第一台机器的用户证书创建一个证书请求。清单 10 显示了一个示例。
清单 10. 证书请求

#gsk7cmd -certreq -create -db /GSK_CERTS/ikekey.kdb
-pw 123456 -label Test_Cert1 -dn
"C=IN,ST=KA,L=BA,O=IBM,OU=ISL,CN=test1" -size 1024
-file /GSK_CERTS/cert1_csr.arm

现在，已创建证书请求，使用 Root_CA 证书签署证书请求，从而生成用户证书，如清单 11 所示。
清单 11. 签署证书请求

#gsk7cmd -cert -sign -db /GSK_CERTS/ikekey.kdb  -pw
123456 -label Root_CA -target /GSK_CERTS/Test_Cert1.cer
-format ascii -expire 100 -file /GSK_CERTS/cert1_csr.arm

创建证书后，将它添加到第一台机器的 GSKit 密钥数据库中。清单 12 显示了一个示例。
清单 12. 添加证书

#gsk7cmd -cert -receive -file /GSK_CERTS/Test_Cert1.cer
-db /GSK_CERTS/ikekey.kdb  -pw 123456 -type cms -format ascii

您可以使用清单 13 中所示的命令列出数据库。
清单 13. 列出数据库

#gsk7cmd -cert -list -db /GSK_CERTS/ikekey.kdb -pw 123456
Certificates in database:/GSK_CERTS/ikekey.kdb
   Entrust.net Global Secure Server Certification Authority
   Entrust.net Global Client Certification Authority
   Entrust.net Client Certification Authority
   Entrust.net Certification Authority (2048)
   Entrust.net Secure Server Certification Authority
   VeriSign Class 3 Secure Server CA
   VeriSign Class 3 Public Primary Certification Authority
   VeriSign Class 2 Public Primary Certification Authority
   VeriSign Class 1 Public Primary Certification Authority
   VeriSign Class 4 Public Primary Certification Authority - G2
   VeriSign Class 3 Public Primary Certification Authority - G2
   VeriSign Class 2 Public Primary Certification Authority - G2
   VeriSign Class 1 Public Primary Certification Authority - G2
   VeriSign Class 4 Public Primary Certification Authority - G3
   VeriSign Class 3 Public Primary Certification Authority - G3
   VeriSign Class 2 Public Primary Certification Authority - G3
   VeriSign Class 1 Public Primary Certification Authority - G3
   Thawte Personal Premium CA
   Thawte Personal Freemail CA
   Thawte Personal Basic CA
   Thawte Premium Server CA
   Thawte Server CA
   Test_Cert1
   Root_CA

请注意，清单中的其他条目是在创建密钥数据库时默认创建的，可以删除它们。

按照类似的过程，为第二台机器创建一个证书。首先，创建证书请求，如清单 14 所示。
清单 14. 为机器 2 创建证书请求

(0) root @ vayu09:6.1.0.0:/GSK_CERTS
# gsk7cmd -certreq -create -db /GSK_CERTS/ikekey.kdb

-pw 123456 -label Test_Cert2 -dn

"C=IN,ST=KA,L=BA,O=IBM,OU=ISL,CN=test2" -size 1024 -

file /GSK_CERTS/cert2_csr.arm

下一步是用 ROOT_CA 证书授权机构的证书签署证书。清单 15 显示了一个示例。
清单 15. 签署证书

(0) root @ vayu09:6.1.0.0:/GSK_CERTS
# gsk7cmd -cert -sign -db /GSK_CERTS/ikekey.kdb  -pw

123456 -label Root_CA -target /GSK_CERTS/Test_Cert2.cer

-format ascii -expire 100 -file

/GSK_CERTS/cert2_csr.arm

查看本栏目更多精彩内容：http://www.bianceng.cn/OS/unix/

将已签署的证书导入 GSKit 密钥文件，如清单 16 所示。
清单 16. 导入已签署的证书

(0) root @ vayu09:6.1.0.0:/GSK_CERTS
# gsk7cmd -cert -receive -file

/GSK_CERTS/Test_Cert2.cer -db /GSK_CERTS/ikekey.kdb -

pw 123456 -type cms -format ascii

您可以使用清单 17 中的代码验证这两个证书是否都在文件中。
清单 17. 验证

# gsk7cmd -cert -list -db /GSK_CERTS/ikekey.kdb -pw
123456
Certificates in database:/GSK_CERTS/ikekey.kdb
  Test_Cert2
  Test_Cert1
  Root_CA

（编辑：源码网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!