在高可用性设置中配置FIPS设备
注意:
mpx9700 /10500/12500/15500 FIPS平台已经寿终正。
可以将HA对中的两个设备配置为FIPS设备。有关配置HA设置的信息,请参见高可用性.
注意:Citrix建议在此过程中使用配置实用程序(GUI)。如果使用命令行方式,请严格按照操作步骤进行操作。更改步骤顺序或指定不正确的输入文件可能导致不一致,从而需要重新启动设备。此外,如果使用命令行方式,可以使用创建SSL fipskey
命令不会传播到辅助节点。当您在两个不同的FIPS设备上使用相同的模量大小和指数输入值运行该命令时,生成的键是不相同的。在其中一个节点上创建FIPS密钥,然后将其传输到另一个节点。但是,如果使用配置实用程序在HA设置中配置FIPS设备,则创建的FIPS密钥将自动传输到辅助节点。管理和传输FIPS密钥的过程被称为安全信息管理(SIM)。
重要的是:在MPX 9700/10500/12500/15500 FIPS设备上,HA设置必须在6分钟内完成。如果该过程超过6分钟,FIPS卡的内部计时器将超时,并出现以下错误消息:
错误:操作超时或重复,请等待10分钟,然后重做SIM/HA配置步骤。
如果出现此消息,请重新启动设备或等待10分钟,然后重复HA设置过程。
在以下过程中,设备A是主节点,设备B是辅助节点。
使用CLI在高可用性设置中配置FIPS设备
设备A,使用SSH客户端(如PuTTY)打开到设备的SSH连接。
使用管理员凭证登录到设备。
将设备A初始化为源设备。在命令提示符下,输入:
init ssl fipsSIMsource
例子:
init fipsSIMsource /nsconfig/ssl/nodeA.cert . init
复制这个
< certFile >
文件到设备B,在/nconfig/ssl文件夹中。例子:
scp / nsconfig / ssl / nodeA。cert nsroot@198.51.100.10: / nsconfig / ssl
关于设备B,使用SSH客户端(如PuTTY)打开到设备的SSH连接。
使用管理员凭证登录到设备。
将设备B初始化为目标设备。在命令提示符下,输入:
init ssl fipsSIMtarget
例子:
初始化fipsSIMtarget /nsconfig/ssl/nodeA. initcert / nsconfig / ssl / nodeB。键/ nsconfig / ssl / nodeB.secret
复制这个
< targetSecret >
文件到设备A。例子:
scp / nsconfig / ssl / fipslbdal0801b。秘密nsroot@198.51.100.20: / nsconfig / ssl
设备A,启用设备A作为源设备。在命令提示符下,输入:
启用ssl fipsSIMSource
例子:
启用fipsSIMsource /nsconfig/ssl/nodeB。秘密/ nsconfig / ssl / nodeA.secret
复制这个
< sourceSecret >
文件到设备B。例子:
scp / nsconfig / ssl / fipslbdal0801b。秘密nsroot@198.51.100.10: / nsconfig / ssl
关于设备B,启用设备B作为目标设备。在命令提示符下,输入:
启用ssl fipsSIMtarget
例子:
启用fipsSIMtarget /nsconfig/ssl/nodeB。键/ nsconfig / ssl / nodeA.secret
设备A,创建FIPS密钥,具体操作请参见创建FIPS密钥.
将FIPS密钥导出到设备的硬盘,如中所述导出FIPS密钥.
使用安全文件传输实用程序(如SCP)将FIPS密钥复制到次要设备的硬盘上。
关于设备B,将FIPS密钥从硬盘导入设备的HSM,如中所述导入已存在的FIPS密钥.
使用GUI在高可用性设置中配置FIPS设备
- 在要配置为源设备的设备上,导航到流量管理> SSL > FIPS.
- 在详细信息窗格的“FIPS信息”页签中,单击使SIM.
- 在为SIM卡开启HA Pair对话框,转到证书文件名文本框中。键入文件名,以及FIPS证书必须存储在源设备上的位置的路径。
- 在密钥矢量文件名文本框,输入文件名,以及FIPS密钥向量必须存储在源设备上的位置的路径。
- 在目标秘密文件名文本框中,键入用于在目标设备上存储秘密数据的位置。
- 在源机密文件名文本框中,键入源设备上用于存储秘密数据的位置。
- 点击好吧.FIPS设备现在配置为HA模式。
- 如中所述,创建FIPS密钥创建FIPS密钥.FIPS密钥自动从主服务器转移到从服务器。
下图总结了转移过程。
图1。传输FIPS密钥摘要