TLS/SSL 证书

您必须为 Unified Access Gateway 设备配置 TLS/SSL 证书。到 Unified Access Gateway 设备的客户端连接需要使用 TLS/SSL。终止 TLS/SSL 连接的面向客户端的 Unified Access Gateway 设备和中间服务器需要使用 TLS/SSL 服务器证书。

TLS/SSL 服务器证书是由证书颁发机构 (Certificate Authority, CA) 签名的。CA 是确保证书及其创建者身份的受信机构。如果证书是由受信任的 CA 签发，则系统不会向用户显示要求验证证书的消息，且瘦客户端设备可以在无需额外配置的情况下进行连接。

**注意：**为 Unified Access Gateway 设备配置 TLS/SSL 证书仅适用于 Horizon 和 Web 反向代理。

在部署 Unified Access Gateway 设备时，将生成一个默认 TLS/SSL 服务器证书。对于生产环境，建议尽快替换默认证书。默认证书不是由受信任的 CA 签名的。仅在非生产环境中使用默认证书。

建议对 TLS 服务器使用基于 RSA 密钥的证书。证书和私钥可以作为 PKCS12/PFX 密钥库提供，也可以作为 PEM 格式的单独私钥和证书链文件提供。

要将 PKCS12/PFX 转换为 PEM 格式的证书链文件，请运行以下 openssl 命令：

openssl pkcs12 -in mycaservercert.pfx -nokeys -out mycaservercert.pem

要将 PKCS12/PFX 转换为 PEM 格式的私钥文件，请运行以下 openssl 命令：

openssl pkcs12 -in mycaservercert.pfx -nodes -nocerts -out mycaservercertkey.pem

以 PEM 格式提供证书和密钥时，私钥必须采用 PKCS1 格式。要将私钥从 PKCS8 转换为 PKCS1（从 BEGIN PRIVATE KEY 格式转换为 BEGIN RSA PRIVATE KEY 格式），请运行以下 openssl 命令：

openssl rsa -in mycaservercertkey.pem -check -out mycaservercertkeyrsa.pem

管理 UI 中的 TLS 服务器证书设置

1. 在 UAG 管理控制台的手动配置部分中，单击选择。
2. 在高级设置中，选择 TLS 服务器证书设置齿轮箱图标。
3. 选择要应用证书的接口（管理员、Internet 或两者）。
4. 对于“证书类型”，选择 PEM 或 PFX。
   1. 对于 PEM，选择 PEM 格式的私钥和证书链。 添加证书后，单击查看以查看证书详细信息。
   2. 对于 PFX，单击选择以上载 PFX 证书。如果证书库中存在多个证书，请输入 PFX 密码和别名。
5. 单击保存。