F5000自签证书怎么改成RSA 2048-具体流程

对象---公钥管理

# F5000 SSL‑VPN 自签证书 RSA‑2048 改造流程

>
> 用户笔误：是**RSA2048**，没有 2028 密钥长度；当前设备默认自签证书 RSA1024 位，安全合规不通过，需要重新生成 RSA2048 自签名证书，替换给 SSL‑VPN 使用。
> 设备：F5000 系列 Comware V7 平台。

## 完整 CLI 操作流程

### 步骤 1：创建 PKI 域，生成 RSA2048 密钥对

```
system‑view
#1 创建PKI域
pki domain sslvpn‑self
quit
#2 生成本地RSA2048密钥对，密钥名称rsa‑2048‑key
pki rsa local‑key create rsa‑2048‑key modulus 2048 exportable
```

>
> modulus 2048 就是密钥长度；exportable 代表密钥可导出。

### 步骤 2：生成 RSA2048 自签名证书，绑定上面密钥对

```
#进入pki域视图
pki domain sslvpn‑self
public‑key rsa local‑key rsa‑2048‑key
#生成自签名证书，有效期按现场设置，示例730天
create‑self‑signed‑certificate subject cn=sslvpn‑fw,o=test,c=CN days 730
quit
```

>
> subject 字段：cn 填写 SSL‑VPN 访问域名 / IP；o 组织；c 国家；按实际局点修改。

### 步骤 3：SSL‑VPN 调用新的 PKI 域证书

```
ssl vpn
ssl‑server‑policy default
pki‑domain sslvpn‑self
quit
```

>
> ⚠️修改 ssl‑server‑policy 后，**SSL‑VPN 服务会自动重载，在线用户会断开重连，业务有短暂中断，建议业务低窗口操作**。

### 步骤 4（可选）：防火墙 Web 管理页面也替换为该 RSA2048 证书

```
ip https ssl‑server‑policy pki‑domain sslvpn‑self
```

### 步骤 5：验证证书密钥长度

1. 浏览器访问 SSL‑VPN 地址，查看证书详情，确认**RSA 密钥 2048 位，签名算法 SHA256**。
2. 设备命令查看证书信息

```
display pki certificate local domain sslvpn‑self
```

## 回退方案（如果业务异常）

恢复为旧证书：把 ssl‑server‑policy 下 pki‑domain 改回原来旧域。

```
ssl vpn
ssl‑server‑policy default
undo pki‑domain
quit
```

## 重要注意事项

1. 旧的 RSA1024 证书不要直接修改密钥长度，**不能原地修改，必须全新生成密钥 + 全新自签证书，再替换调用**。
2. 替换证书 SSL‑VPN 会短暂断连，现有在线用户全部掉线，需要维护窗口实施。
3. 自签名证书客户端浏览器依旧报不安全告警；如果需要消除告警，需要导入该自签证书到客户端计算机受信任根证书。
4. 密钥支持 2048/4096；**禁止继续使用 1024 位 RSA**。
5. 双机热备场景：两台 F5000 都需要完整执行整套 PKI 配置，密钥、证书在两台设备独立生成。

## Web 界面简要流程（Web 方式）

1. 对象→PKI→PKI 域，新建域；
2. 对象→PKI→密钥对，新建 RSA 密钥，选择模数 2048；
3. 在 PKI 域内绑定该密钥对，生成本地自签名证书；
4. VPN→SSL‑VPN→SSL 服务器策略，选择上面新建的 PKI 域；提交配置，服务重载。

## 极简总结

1. 不能直接修改旧证书密钥长度，**新建 RSA2048 密钥对，生成全新自签名证书**。
2. SSL‑VPN 的 ssl‑server‑policy 调用新 PKI 域；配置后业务短暂中断。
3. 命令：`pki rsa local‑key create modulus 2048`；`create‑self‑signed‑certificate`。
4. 双机环境两台防火墙都配置；浏览器查看证书确认密钥长度为 2048。