cjh Agile Controller 2022-10-20 此文章访问量 413

如何解决打开Portal认证页面提示证书错误的问题

问题

Portal服务器自带的证书并非由权威的证书机构颁发，不属于受信任证书。在Portal服务器向Web浏览器推送页面时，Web浏览器将花费比受信任证书更多的时间来校验非受信任证书，并且终端会弹出“证书错误”的警告，这将导致Portal服务器推送页面效率降低。

回答

如果权威证书为三级及以上证书，那么该权威证书中需要包含完整的证书链，否则可能出现部分终端因为不包含中间证书，导致服务器证书不受信任，最终Portal页面出现证书告警或显示空白。

由于终端类型多样，让所有终端用户都手动安装证书，将证书添加到受信任区域中是不现实的，为了提升Portal页面的访问体验，有两种方案可解决此问题：

将Portal页面改成通过HTTP方式推送。

具体操作请参见如何修改以HTTP方式推送Portal认证页面。

客户自行从权威的证书颁发机构购买证书，并上传到Portal服务器。

服务器证书是与域名绑定的。

如果购买的服务器证书绑定的域名具有通配符（例如“*.SOLO.LO”），则所有具有相同的域名后缀（例如服务器名后缀为SOLO.LO）的Portal服务器均可使用此证书，每一台服务器均上传此服务器证书。

如果购买的服务器证书绑定的域名不具有通配符（例如“GUEST.SOLO.LO”），则每一台Portal服务器分别购买一个独立的服务器证书，每一台服务器均上传独立的服务器证书。

您需要在DNS服务器添加主机记录，以便AC向Web浏览器推送域名形式的URL地址时DNS服务器能够把域名解析成IP地址。

具体操作请参见操作步骤。

操作步骤

（1）购买并上传服务器证书。

客户从权威的证书颁发机构购买服务器证书（略），证书文件为*.jks格式。

上传服务器证书。

请参见服务器证书导入工具上传服务器证书。

（2）在AC把Portal服务器推送URL地址的IP地址修改为域名，确保AC向Web浏览器推送域名形式的URL地址。

（3）在AC把Portal服务器推送URL地址的IP地址修改为域名，确保AC向Web浏览器推送域名形式的URL地址。

<AC> system-view

[AC] web-auth-server guest

[AC-web-auth-server-guest] quit

<AC> save

如果AC还有其他Portal服务器的URL地址使用IP地址，请一并修改为域名形式。

如果还有其他AC，请在剩余的AC把保存的Portal服务器推送URL地址中的IP地址修改为域名形式。

（4）确保AC可以将DNS服务器列表下发给终端PC，终端PC在认证前能够解析DNS服务器（ping DNS服务器域名，检查是否可以返回DNS服务器的IP地址）。

（5）在DNS服务器添加主机资源记录，确保AC向Web浏览器推送域名形式的URL地址时DNS服务器能够把域名解析成IP地址。

以某公司的DNS服务器为例介绍如何在DNS服务器添加主机资源记录。如果使用其他DNS服务器，操作方法请参考该种类型的DNS服务器产品文档。

在安装DNS服务器的操作系统选择“开始 > 设置 > 控制面板 > 管理工具 > DNS”。

选择“DNS > DNS主机名 > 正向查找区域”，右键“域名”，选择“新建主机”。

填写主机名和IP地址，然后单击“添加主机”。

如果还有其他Portal服务器，请为剩余的Portal服务器添加主机资源记录。

如果是在局域网内部，并且配置了多个子级域名，给终端配置DNS列表的时候，建议把局域网的DNS服务器作为主DNS服务器，确保DNS服务器能够将域名解析成对应的业务控制器的IP地址。如果把公网的DNS服务器作为主DNS服务器，可能会出现域名解析错误。

Huawei Agile Controller（列表、list、全）华为AClist、敏捷控制器list

手机扫一扫，手机上查看此文章：