旧版 SSL 配置文件
注意 ： Citrix 建议使用增强型配置文件而不是旧配置文件。有关增强型配置文件基础设施的信息，请参阅 SSL 配置文件基
重要：
将 SSL 配置文件绑定到 SSL 虚拟服务器。不要将 DTLS 配置文件绑定到 SSL 虚拟服务器。有关 DTLS 配置文件的信息，请参阅 DTL 配置文件。
您可以使用 SSL 配置文件指定 Citrix ADC 如何处理 SSL 流量。配置文件是 SSL 实体（如虚拟服务器、服务和服务组）的 SSL 参数设置的集合，并提供了简单的配置和灵活性。您不仅限于配置一组全局参数。您可以创建多个全局参数集（配置文件），并将不同的集分配给不同的 SSL 实体。SSL 配置文件分为两类：
- 前端配置文件，包含适用于前端实体的参数。也就是说，它们适用于接收来自客户端的请求的实体。
- 后端配置文件，包含适用于后端实体的参数。也就是说，它们适用于向服务器发送客户端请求的实体。
与 TCP 或 HTTP 配置文件不同，SSL 配置文件是可选的。因此，没有默认的 SSL 配置文件。同一个配置文件可以在多个实体中重复使用。如果实体没有附加配置文件，则应用在全局级别设置的值。对于动态学习的服务，应用当前的全局值。
下表列出了作为每个配置文件一部分的参数。
| 前端配置文件 | 后端配置文件 |
|---|---|
| cipherRedirect、cipherURL | denySSLReneg |
| clearTextPort* | encryptTriggerPktCount |
| clientAuth、clientCert | nonFipsCiphers |
| denySSLReneg | pushEncTrigger |
| dh、dhFile、dhCount | pushEncTriggerTimeout |
| dropReqWithNoHostHeader | pushFlag |
| encryptTriggerPktCount | quantumSize |
| eRSA、eRSACount | serverAuth |
| insertionEncoding | commonName |
| nonFipsCiphers | sessReuse, sessTimeout |
| pushEncTrigger | SNIEnable |
| pushEncTriggerTimeout | ssl3 |
| pushFlag | sslTriggerTimeout |
| quantumSize | strictCAChecks |
| redirectPortRewrite | tls1 |
| sendCloseNotify | - |
| sessReuse, sessTimeout | - |
SNIEnable |
- |
| ssl3 | - |
| sslRedirect | - |
| sslTriggerTimeout | - |
| strictCAChecks | - |
| tls1、tls11、tls12 | - |
* clearTextPort 参数仅适用于 SSL 虚拟服务器。
如果您尝试设置不属于配置文件的参数，则会显示错误消息。例如，如果您尝试在后端配置文件中设置 ClienTauth 参数。
某些 SSL 参数（例如 CRL 内存大小、OCSP 缓存大小、deData）不属于上述任何配置文件，因为这些参数独立于实体。
SSL 配置文件支持以下操作：
- 添加-在 Citrix ADC 上创建 SSL 配置文件。指定配置文件是前端还是后端。前端是默认值。
- 设置-修改现有配置文件的设置。
- Unset-将指定参数设置为其默认值。如果未指定任何参数，则会显示一条错误消息。如果您在实体上取消设置配置文件，则该配置文件将从实体中解除绑定。
- 删除-删除配置文件。无法删除任何实体正在使用的配置文件。清除配置将删除所有实体。因此，配置文件也会被删除。
- 显示-显示 Citrix ADC 上可用的所有配置文件。如果指定了配置文件名称，则会显示该配置文件的详细信息。如果指定了实体，则会显示与该实体关联的配置文件。
使用 CLI 创建 SSL 配置文件
- 要添加 SSL 配置文件，请键入：
add ssl profile <name> [-sslProfileType ( BackEnd | FrontEnd )]
<!--NeedCopy-->
- 要修改现有配置文件，请键入：
set ssl profile <name>
<!--NeedCopy-->
- 要取消设置现有配置文件，请键入：
unset ssl profile <name> [-dh] [-dhFile] [-dhCount] [-eRSA]…
<!--NeedCopy-->
- 要从实体取消设置现有配置文件，请键入：
unset ssl vserver <vServerName> –sslProfile
<!--NeedCopy-->
- 要删除现有配置文件，请键入：
rm ssl profile <name>
<!--NeedCopy-->
- 要显示现有配置文件，请键入：
sh ssl profile <name>
<!--NeedCopy-->
使用 GUI 创建 SSL 配置文件
导航到“系统”>“配 置文件”，选择“SSL 配置文件”选项卡，然后创建 SSL 配置文件。
对客户端证书验证启用更严格的控制
如果单个 Root-CA 颁发了有效的中间 CA 证书，Citrix ADC 设备将接受这些证书。也就是说，如果只有 Root-CA 证书绑定到虚拟服务器，并且 Root-CA 验证随客户端证书一起发送的任何中间证书，则设备将信任证书链，并且握手成功。
但是，如果客户端在握手中发送了一连串证书，则只有当该证书绑定到 SSL 虚拟服务器时，才能使用 CRL 或 OCSP 响应程序验证中间证书。因此，即使其中一个中间证书被吊销，握手也是成功的。作为握手的一部分，SSL 虚拟服务器发送绑定到它的 CA 证书的列表。为了进行更严格的控制，您可以将 SSL 虚拟服务器配置为仅接受绑定到该虚拟服务器的一个 CA 证书已签署的证书。为此，必须启用绑定到虚拟服务器的 SSL 配置文件中的设置 ClientAuthUseBoundCAChain。如果绑定到虚拟服务器的 CA 证书之一尚未签署客户端证书，握手将失败。
例如，假设两个客户端证书，即 clientcert1 和 clientcert2，分别由中间证书 INT-CA-A 和 INT-CA-B 签名。中间证书由根证书根 CA 签名。Int-CA-A 和 Root-CA 绑定到 SSL 虚拟服务器。在默认情况下（禁用 ClientAuthUseBoundCAChain），接受 clientcert1 和 clientcert2。但是，如果启用了 ClientauthuseBoundCachaon，Citrix ADC 设备只接受 clientcert1。
使用 CLI 启用对客户端证书验证的更严格的控制
在命令提示符处，键入： set ssl profile <name> -ClientAuthUseBoundCAChain Enabled
使用 GUI 对客户端证书验证进行更严格的控制
- 导航到“系统”>“配 置文件”，选择“SSL 配置文 件”选项卡，然后创建 SSL 配置文件，或选择现有配置文件。
- 选择“使用绑定 CA 链启用客户端身份验证”。