Apstra 서버를 처음 부팅하면 고유한 자체 서명 인증서가 자동으로 생성되어 Apstra 서버의 (nginx.crt웹 서버의 공개 키이며 nginx.key 개인 키)에 /etc/aos/nginx.conf.d 저장됩니다. 인증서는 Apstra 서버 및 REST API를 암호화하는 데 사용됩니다. 내부 디바이스-서버 연결을 위한 것이 아닙니다. 시스템을 백업할 때 HTTPS 인증서가 유지되지 않으므로 폴더를 etc/aos 수동으로 백업해야 합니다. 기본 SSL 인증서를 교체하는 것이 좋습니다. 웹 서버 인증서 관리는 최종 사용자의 책임입니다. 주니퍼 지원은 최선의 노력입니다.
- 기존 OpenSSL 키를 백업합니다.
admin@aos-server:/$ sudo -s
[sudo] password for admin:
root@aos-server:/# cd /etc/aos/nginx.conf.d
root@aos-server:/etc/aos/nginx.conf.d# cp nginx.crt nginx.crt.old
root@aos-server:/etc/aos/nginx.conf.d# cp nginx.key nginx.key.old
- 내장된 openssl 명령을 사용하여 새 OpenSSL 개인 키를 생성합니다.
root@aos-server:/etc/aos/nginx.conf.d# openssl genrsa -out nginx.key 2048
Generating RSA private key, 2048 bit long modulus
.............+++
......+++
e is 65537 (0x10001)
주의:
또는 nginx.key 파일 이름을 수정 nginx.crt 하지 마십시오. 에서 참조nginx.conf됩니다. 후속 서비스 업그레이드의 일환으로 이러한 파일을 교체할 수 있으므로 파일 이름을 예측할 수 있어야 합니다.
또한 에서 구성을 nginx.conf변경하지 마십시오. 이 파일은 Apstra 서버 업그레이드 중에 대체될 수 있으며 변경 사항은 삭제됩니다.
- 인증서 서명 요청을 생성합니다. Apstra 서버 HTTPS 서비스에 대해 주관적 대체 이름(SAN)을 사용하여 서명된 SSL 인증서를 생성하려면 OpenSSL 템플릿을 수동으로 생성해야 합니다. 자세한 내용은 주니퍼 지원 기술 자료 문서 KB37299를 참조하십시오.
주의:
고급 인증서 요청에 대한 사용자 지정 OpenSSL 구성 파일을 만든 경우 Nginx 구성 폴더에 남겨두지 마세요. 시작 시 Nginx는 그것들(*.conf)로드를 시도하여 서비스 오류를 일으킵니다.
root@aos-server:/etc/aos/nginx.conf.d# openssl req -new -sha256 -key nginx.key -out nginx.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:California
Locality Name (eg, city) []:Menlo Park
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Apstra, Inc
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:aos-server.apstra.com
Email Address []:support@apstra.com
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
- 인증 기관에 인증서 서명 요청(nginx.csr)을 제출합니다. 필요한 단계는 이 문서의 범위를 벗어납니다. CA 지침은 구현에 따라 다릅니다. 유효한 SSL 인증서는 모두 작동합니다. 아래 예제는 인증서에 자체 서명하기 위한 것입니다.
root@aos-server:/etc/aos/nginx.conf.d# openssl req -x509 -sha256 -days 3650 -key nginx.key -in nginx.csr -out nginx.crt
root@aos-server:/etc/aos/nginx.conf.d#
- SSL 인증서가 일치하는지 확인합니다. 개인 키, 공개 키 및 CSR.
root@aos-server:/etc/aos/nginx.conf.d# openssl rsa -noout -modulus -in nginx.key | openssl md5
(stdin)= 60ac4532a708c98d70fee0dbcaab1e75
root@aos-server:/etc/aos/nginx.conf.d# openssl req -noout -modulus -in nginx.csr | openssl md5
(stdin)= 60ac4532a708c98d70fee0dbcaab1e75
root@aos-server:/etc/aos/nginx.conf.d# openssl x509 -noout -modulus -in nginx.crt | openssl md5
(stdin)= 60ac4532a708c98d70fee0dbcaab1e75
- 새 인증서를 로드하려면 nginx 컨테이너를 다시 시작합니다.
root@aos-server:/etc/aos/nginx.conf.d# docker restart aos_nginx_1
aos_nginx_1
root@aos-server:/etc/aos/nginx.conf.d
- 새 인증서가 웹 브라우저에 있고 새 인증서 일반 이름이 'aos-server.apstra.com'와 일치하는지 확인합니다.
