证书需要跟CA机构去申请的

在H3C M9000防火墙上配置证书认证登录，核心是需要准备CA证书和服务器证书，而生成.cer文件通常是指从CA机构获取或从设备自签名证书中导出。

 需要哪些证书文件？

配置证书认证登录，主要涉及以下两种证书文件：

通常，你需要将CA证书和服务器证书都导入到M9000防火墙的PKI域中。

 如何生成或获取.cer证书文件？

生成.cer文件主要有以下两种方式：

方式一：向权威CA机构申请（推荐用于生产环境）
这是最正规的方式，证书受浏览器和操作系统信任。

1. 在防火墙上生成密钥对和CSR：通过命令行生成RSA密钥对，并创建证书签名请求（CSR）文件。

2. 提交CSR给CA机构：将CSR文件提交给权威CA机构（如DigiCert、GlobalSign等），申请证书。

3. 获取证书文件：CA机构审核通过后，会颁发证书文件给你。通常会得到CA证书（.cer或.crt格式）和服务器证书（可能是.cer或.pfx格式）。

方式二：使用自签名证书（适用于测试或内部环境）
如果仅用于内部测试，可以使用防火墙的自签名证书功能。

1. 生成自签名CA和本地证书：在M9000防火墙上通过PKI功能生成自签名的CA证书和本地服务器证书。

2. 导出证书：将生成的自签名证书从防火墙中导出。你可以使用FTP或SFTP从防火墙的/pki/目录下获取证书文件（例如https-server.p12），然后通过工具（如OpenSSL）将其转换为.cer格式。

 证书认证登录的核心配置步骤

在M9000上配置证书认证登录，大致遵循以下流程：

1. 配置PKI域：创建PKI域，并指定证书申请时使用的实体名称和密钥对。

2. 导入证书：将准备好的CA证书和服务器证书导入到防火墙的PKI域中。

   • 导入CA证书：pki import domain <域名> der ca filename <ca.cer>

   • 导入服务器证书：pki import domain <域名> pl2 local filename <server.pfx>

3. 配置SSL服务器端策略：创建SSL服务器端策略，并引用刚才配置的PKI域。

4. 应用策略并开启客户端验证：将SSL服务器端策略应用到HTTPS服务或SSL VPN网关，并启用客户端证书验证功能。这样，客户端（如浏览器）在访问时，就会被要求提供证书进行身份认证。

5. 创建本地用户：创建用于登录的本地用户，并设置其服务类型为https或sslvpn。

M9000 防火墙 Web 管理页面证书双向认证登录

M9000（V7）HTTPS 双向证书认证登录，M9000 本身不能直接生成客户端.cer用户证书；仅可以生成 / 导出 CA 根证书.cer；客户端用户证书需要外部 CA 签发（Windows CA、第三方商用 CA）H3C。

一、整套认证登录需要的全部证书文件

表格

重点：.cer只是证书公钥，不含私钥；客户端登录必须安装带私钥的 PKCS#12 (.p12) 文件，只有 cer 无法完成客户端认证登录H3C。

二、两种获取证书的方案

方案 A：企业内部 Windows CA（最常用，推荐）

1. Windows CA 服务器生成： 1）导出CA 根证书，保存为rootca.cer（DER 编码） 2）在 CA 上申请客户端用户证书（用户身份验证模板），导出为user.p12（包含证书 + 私钥，设置密码）。
2. 将rootca.cer导入 M9000 防火墙 PKI 域作为信任 CA 证书。
3. PC 客户端：
   • 导入rootca.cer到【受信任的根证书颁发机构】
   • 导入user.p12到个人证书存储，输入 p12 密码。

方案 B：M9000 自建本地 CA（仅测试环境，生产不建议）

M9000 V7 可以自建 CA，只能导出 CA 根证书 cer；M9000 不能直接生成带私钥的客户端用户证书 p12。

1. 创建 PKI 域，生成本地 CA 自签名根证书：

2. 导出 CA 根证书到 flash，格式 DER，后缀.cer：

之后通过 FTP/TFTP 把rootca.cer下载到电脑。 ⚠️限制：M9000 自建 CA 无法直接颁发导出带私钥的客户端用户证书。测试场景你需要在 Windows 用 openssl 基于该根证书自行签发用户 p12 客户端证书。

openssl 简易生成客户端证书（拿到 rootca.cer+ca 私钥后电脑执行）

三、M9000 防火墙关键配置（开启 HTTPS 双向证书认证）

1. 导入信任的 CA 根证书（.cer）到 PKI 域

2. 导入防火墙自身 Web 服务器证书（服务器 cer+p12）
3. 开启 HTTPS 服务，开启客户端证书校验

ip https client‑certificate‑verify enable开启双向认证，浏览器访问 https 时会弹出选择客户端证书窗口。

四、常见踩坑

1. ❌只拿到.cer用户证书，没有 p12 私钥：浏览器不会弹出证书选择窗口，无法登录。客户端登录必须 p12。
2. ❌CA 根证书没有导入客户端电脑 “受信任根证书”：会报证书不信任。
3. ❌M9000 没有导入签发用户证书的 CA 根 cer：防火墙不信任客户端证书，直接拒绝 HTTPS 握手。
4. ❌M9000 自建 CA 不能直接输出用户 p12，很多人误以为设备可以直接生成客户端登录证书。

五、验证命令