res2001
Silver Member | Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
anr69
и всем заинтересованным.
Проблему с VCB, описанную тут, успешно поборол.
Решение оказалось достаточно простым.
Просто издал не само подписанный сертификат, а подписанный центром сертификации.
Для издания сертификатов воспользовался скриптами поставляемыми в комплекте OpenVPN (использовал версию для Windows). OpenVPN в свою очередь использует OpenSSL.
Порядок действий такой (все упомянутые bat-файлы входят в комплект OpenVPN):
1. Запустите init-config.bat
2. В файле vars.bat поправьте назначение переменных так как считаете нужным.
Create new empty index and serial files (once only)
3. vars
4. clean-all
Build a CA key (once only)
5. vars
6. build-ca
Build a DH file (for server side, once only). Думаю что пункты 7 и 8 для наших целей не нужны, dh файл используется OpenVPN, а ESXом думаю что не используется. Но я их делал.
7. vars
8. build-dh
Build a private key/certficate for the ESX server
9. vars
10. build-key-server <ESX-name>
Пункты 9 и 10 повторить для всех ESX серверов.
11. Файлы <ESX-name>.* скопировать в каталог /etc/vmware/ssl соответствующего ESX сервера.
Скопированные файлы переименовать в rui.*.
12. Перезагрузить ESX.
13. На компьютере VCB-proxy установить сертификат ca.crt в хранилище доверенных корневых центров сертификации пользователя, под которым происходит запуск vcbMount.exe.
Для проверки работы зайдите на страницу ESXа в Internet Explorer, браузер не должен сообщать об ошибке сертификата.
Если кому надо скрипты и файлы openssl могу закинуть на файлообменник.
Издание собственного сертификата так же будет необходимо тем, кому надоело видеть ошибки сертификата при посещении веб-страницы ESX и предупреждений VCB, а так же тем кто хочет видеть название своей компании в сертификате и т.п.
Издать сертификат можно и другими способами, например через Центр сертификации в Windows Server. Те же операции можно проделать и в самом ESX, т.к. openssl у него встроен, но скриптов от OpenVPN конечно нет, но в этом случае надо разобраться в параметрах openssl, а это уже достаточно сложно. |
