网银SSL证书混乱处理案例---F5.pdfVIP

谨以此文，献给做F5 的兄弟们 网上银行 SSL 证书混乱案例 孟祥坤 | Dollar Meng 北京华胜天成科技股份有限公司 2008 年 10 月20 日 北京 一、 项目概述 国内某大型金融机构开始使用网上银行，利用网络技术在Internet 上开展信息服务、查询、 交易业务。这是一种全新的客户服务提交渠道，客户不受上网方式和时空的限制，可以安全便捷地 管理自己的资产，享受个性金融服务。同时，必将提升金融机构的市场形象，降低运营成本，提高 客户的信心和忠诚度。 该金融机构从面对的目标客户群体出发，进行市场调研和分析，集成网上银行方案，选 择了具有大量网上银行成功实施案例的 F5 产品实施负载均衡和 SSL 双向多级认证，型号为 F5-3600 和F5- 1600。 二、 网络拓扑 网上银行部署示意拓扑大体如下： 三、 证书混乱 1、终端混乱表现 其中，上海和湖南证书互相混乱,zhaominxia 是上海客户,但是提示湖南；而湖南的客 户sfhyyb 提示上海。当然还有不少没有规律的证书换乱。 2、LTM 日志混乱表现 3、后台混乱表现 四、 故障分析 1、系统版本 网上银行 SSL 系统的F5 系统版本有严格的要求，现阶段一定要使用 9.3.1+HF4。具 体原因后面详细解答。 2、SSL profile 这是非常重要的一个环节。我们在配置过程中，在Client Authentication 部分，Frequency 保持默认的参数“once ”就可以了,这样每次SSL session 只需提交一次证书。 如果选择always ，要求每次SSL session 都要提交一次证书，那么有时可能出现session ID 为全“0”，这样后台就报错。添加以下内容到iRule 中应该可以解决这个问题，请 参考： when HTTP_REQUEST { set client_cert [session lookup ssl [SSL::sessionid]] if { $client_cert eq } { SSL::renegotiate } 3、iRule 问题 编写脚本时，语法格式一定要正确，不要出现多余的空格、空行。 五、 解决过程 1、client SSL profile 1.1 Properties 部分 其中，Name 填写profile 名字，类型选择clientssl 即可； 1.2 Configuration 部分 其中，Certificate 选择server 端证书；Key 选择server 证书对应的key 文件；Chain 选 择server 端证书的中间证书，单级证书的话保持默认；Trusted Certificate Authorities 选 择client 端证书的根证书，多级证书的话选择其bundle ； 1.3 Client Authentication 部分 其中，Client Certificate 选择 require ，总是要求提交证书；Advertised Certificate Authorities 选择客户端证书的根证书，如果有中间证书选择根证书和中间证书的 bundle 。其它全部保持默认值。 2、iRule when CLIENTSSL_CLIENTCERT { set ssl_cert [SSL::cert 0] session add ssl [SSL::sessionid] $ssl_cert 86400 } 备注：支持取多级证书 when HTTP_REQUEST { if { [HTTP::uri] starts