Lab3.1

准备环境：

安装openssl工具

yum install –y

openssl

修改/etc/pki/tls/openssl.cnf将

dir

= ../../CA修改为/etc/pki/CA --指定工作的根目录(这里只要修改成/etc/pki/CA就可以了，也可以使用相对路径)

certificate =

$dir/newcerts

修改为$dir/my-ca.crt --证书文件所在的位置(公钥)

crl =

$dir/crl.pem修改为$dir/my-ca.crl

--证书吊销列表

private_key =

$dir/private/cakey.pem 修改为$dir/private/my-ca.key

修改生成证书时的默认值

修改为

在/etc/pki/CA文件夹中创建/etc/pki/tls/openssl.cnf中定义的目录

mkdir

/etc/pki/CA/certs crl newcerts

创建索引文件和序列号文件

产生私钥并修改权限为600

touch

/etc/pki/CA/index.txt

echo

01 > /etc/pki/CA/serial

lab3.2

安装dovecot

yum

install –y dovecot

修改/etc/dovecot.conf配置文件修改为使用加密的协议

将protocols = pop pop3s imap imaps修改为

protocols=imaps(将前面的注释取消)

重启dovecot

service dovecot restart

复制出创建证书的脚本

cp

/usr/share/doc/dovecot-version/examples/mkcert.sh

编辑脚本文件将默认的

OPENSSL=${OPENSSL-openssl}

SSLDIR=${SSLDIR-/etc/pki/dovecot}

OPENSSLCONFIG=${OPENSSLCONFIG-/etc/pki/dovecot/dovecot-openssl.cnf}

修改为

OPENSSL=/usr/bin/openssl

SSLDIR=/etc/pki/dovecot

OPENSSLCONFIG=/etc/pki/tls/openssl.cnf

删除公钥和私钥

rm

/etc/pki/dovecot/certs/dovecot.pem

/etc/pki/dovecot/proivate

然后执行创建证书的脚本

sh

mkcert.sh

重启dovecot服务，使配置生效

service dovecot restart

利用mutt测试(普通用户，root用户不成功)

创建.mutt的配置文件的文件夹

mkdir

.mutt

编辑mutt配置文件

vim

muttrc

set

folder=imaps://cacti.example.com

set

spoolfile=imaps://cacti.example.com

set

imap_force_ssl=yes

然后使用mutt连接，会提示证书信息，按o

Lab3.3

利用CA服务器生成一个新的RSA密钥对，并修改权限为600

(umask

077;openssl genrsa 1024 >

dovecot.key)

生成一个证书请求文件

(umask

077;openssl req –new –key dovecot.key –out dovecot.csr)

查看证书

openssl req –in dovecot.csr –noout –text

在CA服务器上签署证书

openssl ca –in dovecot.csr –out dovecot.crt

在/etc/pki/CA/index.txt中查看证书的信息

cat

/etc/pki/CA/index.txt

V表示可用的R表示吊销的

将生成的公钥和私钥复制到dovecot的证书目录下

cp

~/dovecot.key /etc/pki/dovecot/private/dovecot.pem

cp

~/dovecot.crt /etc/pki/dovecot/certs/dovecot.pem

重启dovecot服务

Lab3.4

如果不提示证书需要将/etc/pki/CA/my-ca.crt复制到非root账户的~/.mutt/下

(如果提示没权限，可以使用root复制)

同时在~/.mutt/muttrc中添加

set

certificate_file=~/.mutt/my-ca.crt

Lab3.5

在火狐浏览器中导入CA证书

选择编辑—首选项—高级—加密—查看证书—导入

导入CA证书(在/etc/pki/CA下)

查看证书序列号和主题

openssl x509 –in /etc/pki/dovecot/certs/dovecot.pem –noout

–serial –subject

现在的/etc/pki/CA/serial已经变为02

查看/etc/pki/CA/index.txt

状态是V

cat

/etc/pki/CA/index.txt

吊销证书

openssl ca –revoke /etc/pki/CA/newcerts/01.pem

查看/etc/pki/CA/index.txt

状态变为R

产生吊销列表

echo

00 > /etc/pki/CA/crlnumber

cd

/etc/pki/CA/crl

openssl ca –gencrl –out my-ca.crl

查看证书吊销列表

openssl crl –in my-ca.crl –noout –text

将吊销列表转换成firefox或者是雷鸟可以识别的格式(DER格式)

openssl crl –in my-ca.crl –outform DER –out

my-ca-der.crl

浏览器导入吊销列表

选择撤销列表

选择导入

填写吊销列表网络访问路径