【文本版|topic】 标题 全文 高级搜索    名人堂 帮助 论坛制度 意见反馈 | 首页 博客 周新贴 专题 求职 读书

	社区导航: 专家门诊   门诊点播 申请专家 意见建议 嘉宾访谈 网络技术   网络管理  >>VPN管理  >>网络流量管理  >>网络设备管理  >>网络解决方案 网管软件 网络工程  >>综合布线  >>系统集成 思科技术 华为技术 网络安全  >>病毒木马  >>流氓软件  >>ISA 存储备份 服务器硬件 操作系统   Windows Linux & Advanced Application Unix & BSD & Solaris 数据库   微软SQL Server专区  >>SQL Server 2008  >>SQL Server数据库管理  >>SQL Server数据库开发  >>微软商务智能 Oracle 10g / 9i MySQL & PostgreSQL & Sybase DB2 程序设计   C/C++ .Net Java Php Web PowerBuilder 系统应用   Web及应用服务器 Mail服务器  >>Exchange 其他常用服务器软件 考试认证   软考论坛  >>网络管理员  >>网络工程师 主流IT厂商认证 ITAA实验室 CIO及信息化   管理软件 信息化咨询 站长交流   建站经验交流 网站运营推广 网页设计美化 IDC技术交流 综合交流   PC应用  >>软件应用  >>硬件应用 英语天地 新闻评论 职场人生 生活日记 体坛奥运 开心灌水 士兵突击 吃喝玩乐 下载基地  技术文档 工具软件 课件试题 方案案例 源代码 影视天地 原创视频 技术白皮书  >>存储管理  >>Cisco  >>Linux  >>Solaris  >>Oracle  >>更多... 51CTO产品服务 活动专区 产品与服务  >>IT技术自测  >>技术黄皮书  >>微软MVP专区  >>商务竞拍  >>特色功能介绍  >>论坛小技巧 站务交流  >>论坛公告  >>斑竹申请  >>意见建议  >>市场合作 斑竹茶馆 【设为首页 | 收藏本站】

51CTO技术论坛» Windows » WSUS全攻略之五 ：部署WSUS使用SSL       [ 打印]  [ 订阅]  [ 收藏]  [ 推荐给朋友]   [ 本帖文本页]

论坛跳转: →IT综合区←  > 技能交换  > 项目外包  > 产品采购  > 求职招聘 →专家门诊←  > 专家门诊      > 嘉宾访谈  > 原创网络技术视频      > 视频讨论专区  > 微软SQL Server专区 → 网络技术←  > 网络管理      > VPN管理      > 网络流量管理      > 网络设备管理      > 网络解决方案  > 网管软件  > 网络工程      > 综合布线      > 系统集成  > 思科技术  > 华为技术  > 锐捷技术  > 网络安全      > 赛门铁克      > 病毒木马      > 流氓软件      > ISA  > 存储备份  > 服务器硬件 →操作系统←  > Windows  > Linux & Advanced Application  > Solaris & BSD & Unix → 数据库←  > 微软SQL Server专区      > SQL Server 2008      > SQL Server数据库管理      > SQL Server应用开发      > 微软商务智能  > Oracle 10g / 9i  > MySQL & PostgreSQL & Sybase  > DB2 →程序设计←  > C/C++  > .Net  > Java  > Php  > Web开发  > PowerBuilder →系统应用←  > Web及应用服务器  > Mail服务器      > Exchange  > 其他常用服务器软件 →考试认证←  > 软考论坛      > 网络管理员      > 网络工程师  > 北大青鸟  > 主流IT厂商认证 →CIO与信息化←  > 管理软件  > 信息化咨询 →站长交流←  > 建站经验交流  > 网站运营推广  > 网页设计美化  > IDC技术交流 →娱乐休闲←  > PC 应用      > 软件应用      > 硬件维护  > 英语天地  > 新闻评论  > 职场人生  > 体坛奥运  > 升级版生活日记  > 贴图灌水beta版  > 51cto版士兵突击  > 吃喝玩乐FB生活 →下载基地←  > 技术文档  > 工具软件  > 课件试题  > 方案案例  > 源代码  > 影视天地  > 技术白皮书      > Cisco      > Windows      > Linux      > Unix      > Solaris      > BSD      > Oracle      > My SQL      > MS SQL      > MPLS      > Sybex      > Programe      > WEB      > 存储硬件      > 存储管理      > 存储概念 →51CTO产品与服务←  > 活动专区  > 产品与服务      > IT技术自测      > 技术黄皮书      > Most Valuable Professional      > 商务竞拍      > 特色功能介绍      > 论坛小技巧  > 站务交流      > 论坛公告      > 斑竹申请      > 意见建议      > 市场合作 →信息发布←  > 信息发布

标题: [转载] WSUS全攻略之五 ：部署WSUS使用SSL  ( 查看:117  回复:0 )    全文标题 本版搜索全坛搜索
特爱蚂蚁 管理员            帖子 1269 精华 3 无忧币 3112 积分 1305 阅读权限 255 来自 (保密) 注册日期 2008-6-3 最后登录 2008-9-8 在线 [查看资料]  [发短消息]  [Blog]	发表于:2008-6-27 10:43　 　标题：WSUS全攻略之五 ：部署WSUS使用SSL ＜上一帖 | 下一帖＞ WSUS服务器允许客户端计算机或下游WSUS服务器通过SSL进行身份验证，或者通过SSL加密它们之间更新元数据的通讯。注意只是加密更新元数据，WSUS服务器并不会加密更新文件。同步期间，客户端计算机或者下游WSUS服务器将元数据和更新文件通过不同的服务端口从上游WSUS服务器进行同步，这也是Microsoft Update补丁分发的方式。 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离hF5D+Wf1a 我们在部署与规划一文中已经提到过，每一个完成的更新程序包含两部分：元数据和更新文件。元数据只是提供有关更新的信息，体积往往远小于更新文件，微软只是对元数据的通讯进行加密；但是，微软通过对于每一个更新文件进行散列值计算，并将此散列值跟随元数据通讯一起进行加密传输，从而确保所下载的更新文件的完整性。 51CTO技术论坛&W|b.d2z        X0{lk3{ 在部署WSUS使用SSL时，你需要考虑以下两点： 1U(_N+zj'K sA        {^l0[7a{2b51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离部署SSL会增加WSUS服务器的工作负荷。在WSUS服务器上部署SSL时，会导致WSUS服务器大概10％的性能损耗，在你部署和规划WSUS服务器时必须预先考虑这一点； 9jQ1\z4LBg'Cz)L\+h51CTO技术论坛51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离#NJ'[3AM;f%{'I 如果你使用远程SQL数据库服务器存放WSUS的数据库，WSUS服务器和SQL数据库服务器之间的通讯并不会进行加密。WSUS服务器只会加密和客户端计算机或下游WSUS服务器之间的元数据通讯；如果需要对WSUS服务器和SQL数据库服务器之间的通讯进行加密时，你需要采用额外的方式，例如部署IPSec安全策略。 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离4J*u HsV9X(` 　 bbs.51cto.com oe l!Xm&J 部署WSUS服务器使用SSL的过程非常简单，你只需要在WSUS服务器上安装证书并配置IIS要求进行加密通信，然后将客户端计算机和下游WSUS服务器配置为信任此WSUS服务器的服务器证书并访问WSUS服务器的SSL服务即可。但是部署WSUS服务器使用SSL时，WSUS服务器需要两个端口来提供服务：一个端口用于提供加密元数据的HTTPS服务；一个端口用于提供未加密的更新文件下载的HTTP服务。当你在IIS中配置使用证书时，请一定要记住以下四点： &u%Z `Ax        ~uIB 1、不能将整个WSUS Web站点都设置为需要SSL。这意味着和WSUS Web站点的所有通讯都会进行加密，但是WSUS只会加密元数据通讯，这样当客户端计算机或者下游WSUS服务器试图向WSUS服务器下载更新文件时，由于没有用于提供HTTP下载服务的端口，下载将失败； \@%Aqh2、为了确保WSUS Web站点的安全，你需要对以下虚拟目录配置为要求SSL连接： b0d\4K-AV/U*i +m-VuD].|/g;E51CTO技术论坛SimpleAuthWebService u[,Z ^^vmJ )rOZ3Mw6lW v_51CTO技术论坛DSSAuthWebService 1g#Z?f6jn L;QE:p3V~bbs.51cto.comServerSyncWebService m9smP1QI51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离 %bEn6r'n5\g7T9bbbs.51cto.comWSUSAdmin（此虚拟目录用于访问WSUS管理控制台，对此虚拟目录要求SSL后，你需要修改WSUS管理控制台的链接使用SSL连接）； 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离~2b        O+}s9m+]*J cr(r/wE0Hf5x.]bbs.51cto.comClientWebService (OJZ(X-m5I"U 但是为了让WSUS正常工作，你不能对以下虚拟目录要求SSL连接： bbs.51cto.com~*A;vE        c%S"[ bbs.51cto.comAXY/SvU6hq Content AED d+Lzp51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离bbs.51cto.com]Y-x&U _)y1A ReportingWebService ta*^tS? N V+U(o        t+j5Gw51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离SelfUpdate         mMS(t&K)W`51CTO技术论坛3、你可以配置IIS在任意端口上使用SSL，但是，HTTP通讯的端口是根据你的SSL端口来进行设置的： bbs.51cto.com"H4@I*t&ue{ bbs.51cto.com%D+GYzB7`4t&T 如果配置SSL使用标准SSL端口TCP 443，则WSUS会自动配置HTTP通讯使用标准HTTP服务端口TCP 80。建议你总是使用标准的SSL端口； `"o7Em^:Vi#[okbbs.51cto.com Gk1l4N,w51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离如果配置SSL使用其他任意端口，则WSUS会将此SSL端口前的那个端口用于HTTP通讯，这是不可配置的。例如，如果将端口8531用于SSL通讯，则WSUS会将8530 用于HTTP。 aGPJ^Y-p7d(j+geL4、在配置WSUS服务器采用SSL连接之后，你需要告知客户端计算机或者下游WSUS服务器使用SSL连接和此WSUS服务器进行通讯。对于客户端计算机的告知是通过修改应用到客户端计算机的组策略中的Intranet更新服务位置来实现；而对于下游WSUS服务器的告知，则是通过修改其同步选项来实现。另外，你需要考虑以下重要事项： )mt*bV$j&v51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离 ]+u5U_K$E|^在告知客户端计算机或下游WSUS服务器时，你必须正确提供访问此WSUS服务器的SSL端口的URL地址。如果使用非标准的SSL端口，则必须在URL中包括该端口。例如，使用非标准的SSL端口8531时，你提供给客户端计算机或下游WSUS服务器的URL地址为 https://wsus-ssl-servername:8531；而使用标准的SSL端口443时，你提供的URL地址则为https://wsus-ssl-servername； nE'n/sUf8P51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离K;M O7Yk%k t,p8x 对于客户端计算机，你必须将颁发WSUS服务器SSL所使用的服务器证书的证书颁发机构的CA证书导入本地计算机的受信任根CA存储或自动更新服务的受信任根CA存储中；对于下游WSUS服务器，则是导入本地计算机的受信任根CA存储或Windows Server Update Service的受信任根CA存储中。 bbs.51cto.com6sLkN5A5j &aX6\i)^}a:|[cbbs.51cto.com客户端计算机或下游WSUS服务器必须信任WSUS服务器在IIS中绑定到WSUS Web站点的证书。 #pR0wx        ~O51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离,p2c X g)tQ8X_8P2j g7L-oS%H8s0w^bbs.51cto.com配置WSUS Web站点使用SSL V&|aeT51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离首先需要为WSUS Web站点安装服务器证书。在Internet信息服务管理控制台中，展开本地计算机下的网站，然后右击WSUS Web站点（在此是默认网站），选择属性，然后点击目录安全性标签，你可以看到，此Web站点尚未安装证书，所以查看证书按钮不可用的。点击服务器证书按钮； F9D'FgM7x9_l 'Ga"@        e2TY#}9s        e 在弹出的欢迎使用Web服务器证书向导页，点击下一步； u%Z)aXsv-t.B51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离在服务器证书页，选择新建证书，点击下一步； .tU8Ed2q`~b51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离 4vF&dJr5q!@s8i在延迟或立即请求页，选择立即将证书请求发送到联机证书颁发机构，点击下一步； 51CTO技术论坛A#m#p|-u0rNhJw bbs.51cto.com/K&X7o}imx9mT.{*E 在名称和安全性设置页，输入新证书的名称。在此我输入名称为WSUS Web Site，接受默认的密钥位长1024，点击下一步； /x X FR:pnS(I'{51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离 6|'\z%pR(j v1n在单位信息页，输入你的单位和部门信息，点击下一步； z#P4|#gEW51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离 0~$n4{-}_w3`:Uf在站点公用名称页，输入用于访问WSUS Web站点的域名。在此我的域名是wsus.winsvr.org，输入后点击下一步； 51CTO技术论坛vl ?ji.fFK'E K KCH^2[在地理信息页，输入你的地理位置信息，点击下一步； $t M$X2[b,` V#q4MG`51CTO技术论坛 ,e3zp g xMu$~2~ F 在SSL 端口页，指定使用的SSL端口，在此我接受默认的标准端口443，点击下一步； 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离V        Y@0s.Xm"E3Du uk~1T/mW{'q\51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离在选择证书颁发机构页，选择处理此证书请求的证书颁发机构，点击下一步； sS0kw9s[_bbs.51cto.com \}&mXa:pi51CTO技术论坛在证书请求提交页，回顾你输入的信息，点击下一步； %YZ#~3l-OzZ(Y 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离-z        d Q7SEAsr'k@ 在完成 Web 服务器证书向导页，提醒你证书已经成功安装，点击完成。 51CTO技术论坛-_#gW+H'U -q        fGz"l(v(Xn @　 $U](BWE,R51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离现在，目录安全性标签上的查看证书按钮变得可用了，点击查看证书按钮可以查看绑定到此Web站点的服务器验证证书的详细信息，如下图所示： 51CTO技术论坛 R!w/y Py8z7kD 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离Q@%u2~9U6w_![ 点击确定按钮关闭Web站点属性对话框。 ;ou        n)U+gbY51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离　 g$HT.[ pa51CTO技术论坛　 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离n(C8xKS+?2c A6m 现在，我们需要配置IIS对以下五个虚拟目录设置使用SSL连接： k"m&BOQ?#L@'b/^1| &~U.~hjS{ HSimpleAuthWebService 51CTO技术论坛zM)Fe)Qz\ 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离1UC [X/sUl DSSAuthWebService r3jQ ?PWK51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离 k1cPIt'Vnq zbbs.51cto.comServerSyncWebService 51CTO技术论坛4EZ{,boH @$Kv)wz`$c*s4dLY51CTO技术论坛WSUSAdmin tR2S:C'j|_ 5V|1G;TFyC#YClientWebService 4V-w6@h(K$Bem7C `2V51CTO技术论坛首先，在IIS管理控制台中右击WSUS Web站点下的虚拟目录SimpleAuthWebService，选择属性，然后点击目录安全性标签，最后点击安全通信框架中的编辑按钮； %Fo}o/Uq51CTO技术论坛 ]g9x4C.s在弹出的安全通信对话框上，勾选要求安全通信（SSL）和要求 128 位加密，然后两次点击确定返回Internet信息服务管理控制台； gu[o0H XbN5j51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离         Oj-iX}7u2F*_ 重复以上操作设置其他四个虚拟目录要求SSL，在WSUS服务器端的配置就完成了。 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离;FV dF;s bbs.51cto.com0`I!l^sn2V UHR5G {51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离配置客户端计算机使用SSL访问WSUS Web站点 `2E+LUZ8D 现在我们需要配置客户端计算机使用SSL访问WSUS站点，首先，我们需要修改部署客户端计算机所访问的Intranet更新服务位置的组策略，将其修改为访问WSUS服务器SSL端口的URL地址，如下图所示，在此我是使用的标准SSL端口，所以未在URL地址中包含SSL端口： bbs.51cto.comxF.LVwo 9WH-vU6T5R(FE)l51CTO技术论坛其次，我们需要将颁发WSUS服务器SSL所使用的服务器证书的证书颁发机构的CA证书导入本地计算机的受信任根CA存储或自动更新服务的受信任根CA存储中，在此我就不详细描述其导入过程了，导入后的证书如下图所示： }0yA{#ES$g,v9L )be+Cw1E+FLf51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|零距离此时，客户端计算机就可以通过SSL连接和WSUS服务器通讯进行自动更新了。 { HEE'P#O1`V] 而下游WSUS服务器的配置则更为简单，将证书导入后，你只需要在下游WSUS服务器的同步选项中配置更新源使用上游服务器的SSL端口，并勾选同步更新信息时使用SSL即可，如下图所示： EXH|?iF*ILe2o 喜欢篮球和bbs的纯情小正太一枚..
2008-6-27 10:43 1楼	[ 顶部 ]

论坛跳转: →IT综合区←  > 技能交换  > 项目外包  > 产品采购  > 求职招聘 →专家门诊←  > 专家门诊      > 嘉宾访谈  > 原创网络技术视频      > 视频讨论专区  > 微软SQL Server专区 → 网络技术←  > 网络管理      > VPN管理      > 网络流量管理      > 网络设备管理      > 网络解决方案  > 网管软件  > 网络工程      > 综合布线      > 系统集成  > 思科技术  > 华为技术  > 锐捷技术  > 网络安全      > 赛门铁克      > 病毒木马      > 流氓软件      > ISA  > 存储备份  > 服务器硬件 →操作系统←  > Windows  > Linux & Advanced Application  > Solaris & BSD & Unix → 数据库←  > 微软SQL Server专区      > SQL Server 2008      > SQL Server数据库管理      > SQL Server应用开发      > 微软商务智能  > Oracle 10g / 9i  > MySQL & PostgreSQL & Sybase  > DB2 →程序设计←  > C/C++  > .Net  > Java  > Php  > Web开发  > PowerBuilder →系统应用←  > Web及应用服务器  > Mail服务器      > Exchange  > 其他常用服务器软件 →考试认证←  > 软考论坛      > 网络管理员      > 网络工程师  > 北大青鸟  > 主流IT厂商认证 →CIO与信息化←  > 管理软件  > 信息化咨询 →站长交流←  > 建站经验交流  > 网站运营推广  > 网页设计美化  > IDC技术交流 →娱乐休闲←  > PC 应用      > 软件应用      > 硬件维护  > 英语天地  > 新闻评论  > 职场人生  > 体坛奥运  > 升级版生活日记  > 贴图灌水beta版  > 51cto版士兵突击  > 吃喝玩乐FB生活 →下载基地←  > 技术文档  > 工具软件  > 课件试题  > 方案案例  > 源代码  > 影视天地  > 技术白皮书      > Cisco      > Windows      > Linux      > Unix      > Solaris      > BSD      > Oracle      > My SQL      > MS SQL      > MPLS      > Sybex      > Programe      > WEB      > 存储硬件      > 存储管理      > 存储概念 →51CTO产品与服务←  > 活动专区  > 产品与服务      > IT技术自测      > 技术黄皮书      > Most Valuable Professional      > 商务竞拍      > 特色功能介绍      > 论坛小技巧  > 站务交流      > 论坛公告      > 斑竹申请      > 意见建议      > 市场合作 →信息发布←  > 信息发布

| | |

---

标记已读 · 删除论坛Cookies · 文本版 · WAP

 

| 诚征版主 | 版主堂 | 意见建议 | 大史记 | 论坛地图

Copyright©2005-2008 51CTO.COM  Powered by Discuz!

本论坛言论纯属发布者个人意见，不代表51CTO网站立场！如有疑义，请与管理员联系。

京ICP备05051492号