SSL證書埠指南

SSL證照埠指南

SSL 埠是 什麼？

SSL(Secure Sockets Layer 安全套接層),及其繼任者傳輸層安全（Transport Layer Security，TLS）是為網路通訊提供安全及資料完整性的一種安全協議。TLS與SSL在傳輸層對網路連線進行加密。

而SSL埠是指安全套接層，其埠號是443。

如何使用 SSL  證照配置埠 （以 NET Framework (current version) ） 為例

在 Windows Vista 中，使用 Netsh.exe 工具檢視當前埠配置，如下面的示例所示。

netsh http show SSLcert

獲取證照的指紋

使用證照 MMC 管理單元查詢用於客戶端身份驗證的 X.509 證照。  有關詳細資訊，請參見 如何：使用 MMC 管理單元檢視證照.

訪問證照的指紋。  有關詳細資訊，請參見 如何：檢索證照的指紋.

將證照指紋複製到文字編輯器，如 Notepad。

移除十六進位制字元之間的所有空格。  完成此操作的一種方法是使用文字編輯器的“查詢和替換”功能，將每個空格替換為空字元。

將 SSL 證照繫結至埠號

在 Windows Server 2003 或 Windows XP 中，對安全套接字層 (SSL) 儲存區使用 HttpCfg.exe 工具的“set”命令將證照繫結至埠號。  該工具使用指紋識別證照，如下面的示例所示。

httpcfg set SSL -i 0.0.0.0:8012 -h 0000000000003ed9cd0c315bbb6dc1c08da5e6

-i 開關的語法為 IP:port，指示該工具將證照設定為計算機的埠 8012。  另外，也可將埠號前面的四個零替換為計算機的實際 IP 地址。

-h 開關指定證照的指紋。

在 Windows Vista 中使用 Netsh.exe 工具，如下面的示例所示。

netsh http add SSLcert ipport=0.0.0.0:8000 certhash=0000000000003ed9cd0c315bbb6dc1c08da5e6 appid={00112233-4455-6677-8899-AABBCCDDEEFF}

certhash 引數指定證照的指紋。

ipport 引數指定 IP 地址和埠，功能類似於前述 Httpcfg.exe 工具的 -i 開關。

appid 引數為可用於標識所屬應用程式的 GUID。

將 SSL 證照繫結至埠號並支援客戶端證照

在 Windows Server 2003 或 Windows XP 中，若要支援在傳輸層使用 X.509 證照進行身份驗證的客戶端，請按照前面的步驟進行操作，但要向 HttpCfg.exe 另外傳遞一個命令列引數，如下面的示例所示。

httpcfg set SSL -i 0.0.0.0:8012 -h 0000000000003ed9cd0c315bbb6dc1c08da5e6 -f 2

-f 開關的語法為 n，其中 n 是介於 1 到 7 之間的一個數字。  值為 2 可在傳輸層啟用客戶端證照，如上面的示例所示。  值為 3 可啟用客戶端證照並將這些證照對映至 Windows 帳戶。  請參見“HttpCfg.exe 幫助”以獲取其他值的行為。

在 Windows Vista 中，若要支援在傳輸層使用 X.509 證照進行身份驗證的客戶端，請按照前面的步驟進行操作，但要另外提供一個引數，如下面的示例所示。

netsh http add SSLcert ipport=0.0.0.0:8000 certhash=0000000000003ed9cd0c315bbb6dc1c08da5e6 appid={00112233-4455-6677-8899-AABBCCDDEEFF} clientcertnegotiation=enable

刪除埠號的 SSL 證照

使用 HttpCfg.exe 或 Netsh.exe 工具檢視計算機上的埠和所有繫結的指紋。  若要將資訊輸出到磁碟，請使用重定向字元“>”，如下面的示例所示。

httpcfg query SSL>myMachinePorts.txt

在 Windows Server 2003 和 Windows XP 中，使用 HttpCfg.exe 工具以及 delete 和 SSL 關鍵字。  使用 -i 開關指定 IP:port 號，使用 -h 開關指定指紋。

httpcfg delete SSL -i 0.0.0.0:8005 -h 0000000000003ed9cd0c315bbb6dc1c08da5e6

在 Windows Vista 中使用 Netsh.exe 工具，如下面的示例所示。

Netsh http delete SSLcert ipport=0.0.0.0:8005

 

全球可信CA機構