## 操作场景当业务要求服务器和客户端均需要验证合法性时，可以开启双向认证。开启之后，除了客户端需要验证服务器的合法性外，服务器也需要验证客户端的合法性。 ## 准备工作 1. 创建一个VPC及子网。操作请参考 [创建私有网络](https://www.volcengine.com/docs/6401/69467)。 2. 在子网内创建一台IPv4的公网NLB实例和两台云服务器实例。操作请参考 [创建](https://www.volcengine.com/docs/6406/1264548)[NLB实例](https://www.volcengine.com/docs/6406/1264548) 和 [创建云服务器](https://www.volcengine.com/docs/6396/67743)。 3. 两台云服务器实例部署Nginx服务。操作请参考 [搭建后端服务](https://www.volcengine.com/docs/6406/73688#步骤二：搭建后端服务)。 4. 创建服务器组，并添加两台云服务器实例。服务器组要求如下： * 未开启全端口转发。 * 后端协议为TCP。 * IP版本为IPv4。操作请参考 [创建服务器组](https://www.volcengine.com/docs/6406/1264633) 和 [添加后端服务器](https://www.volcengine.com/docs/6406/1264634) 。 5. 从[火山引擎证书中心购买证书](https://www.volcengine.com/docs/6638/118034)，或者从其他服务器商购买服务器证书并 [上传至火山引擎的证书中心](https://www.volcengine.com/docs/6638/118039) 。 6. 购买或上传私有CA证书。 * 购买：操作请参考 [私有CA快速入门](https://www.volcengine.com/docs/6638/198066) 。 * 上传：操作请参考[上传根CA证书](https://www.volcengine.com/docs/6638/1060379)、[上传子CA证书](https://www.volcengine.com/docs/6638/1554362)、[上传私有证书](https://www.volcengine.com/docs/6638/1554363)。 ## 操作步骤 ### 步骤一：配置TLS双向认证 1. 登录[NLB控制台](https://console.volcengine.com/nlb/LoadBalancer)。 2. 在顶部导航栏，选择目标项目和地域。 3. 单击目标NLB实例右侧的**配置监听器**按钮。 4. 单击**添加监听器**按钮，参考下表，配置相关参数。 |参数 |说明 |取值示例 | |---|---|---| |监听器名称 |输入监听器的名称。不填则默认为**协议\-端口** ，如**TLS\-80**。 |listener01 | |监听协议 |选择NLB实例监听器的协议类型。本操作选择TLS。[了解更多](https://www.volcengine.com/docs/6406/1264660#%E7%9B%91%E5%90%AC%E5%8D%8F%E8%AE%AE%E7%B1%BB%E5%9E%8B) |TLS | |监听端口 |输入监听的端口。范围为1～65535。|80 |\ | |监听单端口：输入单个端口。当监听器监听到该端口的TLS请求时，会将请求中的目的IP和端口替换成后端服务器的IP地址和端口，并转发到后端服务器。| |\ | |[了解更多](https://www.volcengine.com/docs/6406/1264660) | | |超时时间 |设置超时时间。若连接在超时时间内没有数据传输，将自动关闭。|900秒 |\ | |TLS监听器的超时时间取值范围为10～900秒，默认为900秒。 | | |标签 |标签由一个键值对组成，用于资源的分类和搜索。[了解更多](https://www.volcengine.com/docs/6406/1264667)。|* 标签键：listener\-key|\ | |单击**添加**图标，输入标签键和标签值，为监听器添加标签。 |* 标签值：listener\-test | 5. 单击**下一步**按钮，配置SSL证书。 |参数 |说明 |取值示例 | |---|---|---| |证书来源 |选择证书来源。|火山引擎证书中心SSL证书 |\ | || |\ | |* 火山引擎证书中心SSL证书（推荐使用）。| |\ | |* 火山引擎证书中心私有CA。| |\ | || |\ | |:::tip| |\ | |私有CA的证书支持作为服务器证书的功能正在邀测中，如需试用，请联系客户经理。| |\ | || |\ | |:::| | |服务器证书 | 下拉选择服务器证书。您可在证书中心购买或上传服务器证书，NLB从证书中心获取该证书并使用。|xx\-certificate\-xx |\ | |:::tip| |\ | |NLB不对服务器证书的完整性进行校验，该校验由证书中心进行。未进行完整性校验的证书可能存在安全风险，请您仔细评估后操作。 [了解更多](https://www.volcengine.com/docs/6638/118039)| |\ | || |\ | |:::| | |双向认证 |选择是否开启双向认证。双向验证指除了客户端需要验证服务器的合法性外，服务器还需要验证客户端的合法性。双向认证的更多介绍，请参见[双向认证](https://www.volcengine.com/docs/6406/1602191)。 |开启 | | CA证书来源 |选择CA证书的来源，支持如下：|私有子CA |\ | || |\ | |* 私有根CA| |\ | |* 私有子CA | | |CA证书 |根据CA证书来源选择CA证书。 |pca_sub_3NDtjsc\-xx | |TLS安全策略 |根据策略类型下拉选择具体策略。|系统默认策略|\ | |[了解更多](https://www.volcengine.com/docs/6406/1545415) |tls_cipher_policy_1_0 | 6. 单击**下一步**按钮，选择**TCP协议的服务器组**。 7. 单击**下一步**按钮，确认配置信息。 8. 单击**确定**按钮，完成操作。 ### 步骤二：配置安全组和网络ACL * **NLB实例：**需要放通如下流量。 * 客户端访问请求 * 转发访问请求 * 健康检查 * 系统探测NLB私网IP地址可用性详情请参见[配置NLB的安全组和网络ACL](https://www.volcengine.com/docs/6406/1355606)。 * **后端服务器**：需要放通如下流量： * NLB转发的访问请求 * 健康检查若已开启[放通后端安全组](https://www.volcengine.com/docs/6406/1544690)功能，则无需配置后端安全组；若未开启，需配置后端安全组，详情请参见[配置后端服务器的安全组和网络ACL](https://www.volcengine.com/docs/6406/1275688)。 ### **步骤三：证书域名解析至NLB域名** :::tip 本文以在火山引擎 DNS 服务中配置解析记录为例，如果您使用其他平台管理业务域名，请在对应的平台中配置解析记录。 ::: 1. 登录 [云解析 DNS 控制台](https://console.volcengine.com/TrafficRoute/dns/public-zone)。 2. 参考[添加CNAME记录](https://www.volcengine.com/docs/6758/1184039#%E6%B7%BB%E5%8A%A0%E4%B8%80%E6%9D%A1-cname-%E8%AE%B0%E5%BD%95)将您的自有域名解析至NLB实例的域名，并验证配置是否生效。参数说明如下表所示。 |参数 |描述 | |---|---| |域名 |设置为您证书域名的主机记录（域名前缀）。例如：`www.example.com`。 | |记录类型 |设置为 **CNAME**。 | |记录值 |设置为 NLB 实例的域名，本文中为 `nlb-2fe5af0pxlvy859gp68ag****.cn-guangzhou.nlb.volces.com`。 | |:::tip||\ |上表中未介绍的参数请保持默认值。| |\ || |\ |:::| | ### 步骤四：安装客户端证书私有子CA由私有根CA签发，私有证书由私有子CA签发。客户端安装TLS监听器配置的CA证书签发的证书。 ```mixin-react return ( 将CA证书压缩包[上传](https://www.volcengine.com/docs/6396/75254)至Linux客户端。 2. [登录linux客户端](https://www.volcengine.com/docs/6396/81032)，执行以下命令，解压压缩包。 tar -vxf <证书名称> -C <指定目录，如 /root/ca> 3. 修改目录权限。 sudo chmod 700 /root/ca `}> 将CA证书压缩包[上传](https://www.volcengine.com/docs/6396/75254)至Windwos客户端，并进行解压。 2. [登录Windows客户端](https://www.volcengine.com/docs/6396/81032)，同时按win按键和R按键，弹出运行对话框。 3. 输入mmc，单击确定按钮。

4. 单击文件 \> 添加/删除管理单元。 5. 选择证书选项，单击添加按钮。

6. 选择计算机账户选项，单击下一步。 7. 选择本地计算机（运行此控制台的计算机），单击完成按钮。 8. 在左侧导航栏，单击证书（本地计算机）。 9. 选择企业信任，单击右键。

10. 选择所有任务 \> 导入，单击下一步按钮。 11. 在文件名栏，单击浏览按钮，选中目标证书，单击下一步按钮。

12. 单击完成，等待证书导入完成。刷新即可查看。

`}>); ``` ## 验证 ```mixin-react return ( 以后端服务为HTTP服务为例，执行以下命令： \`curl --cert <证书所在目录>certificate.pem --key <证书所在目录>private_key.key --cacert <证书所在目录>certificate_chain.pem https:<域名>:<端口>\` 示例如下： \`\`\`Bash curl --cert /root/ca/certificate.pem --key /root/ca/private_key.key --cacert /root/ca/certificate_chain.pem https://test.com:80 \`\`\` 2. 返回服务器部署服务的数据，则操作成功。 `}> 打开浏览器，输入https://<域名:端口>。 2. 返回服务器部署服务的数据，则操作成功。 `}>); ```

负载均衡