test

Solaris 9 9/04 安裝指南

建立隨機密鑰和加密密鑰

如果要使用 HTTPS 來傳送資料，則必須建立一個 HMAC SHA1 隨機密鑰和一個加密密鑰。 如果您計劃透過一個半私有網路進行安裝，您可能不想對安裝資料進行加密。 您可以使用 HMAC SHA1 隨機密鑰來檢查 wanboot 程式的完整性。 如需有關隨機密鑰和加密密鑰的摘要資訊，請參閱在 WAN Boot 安裝期間保護資料 。

透過使用 wanbootutil keygen 指令，可以產生這些密鑰並將其儲存在相應的 /etc/netboot 目錄中。

建立隨機密鑰和加密密鑰

  1. 假定在 WAN Boot 伺服器上使用者身份與 Web 伺服器使用者身份相同。

  2. 建立主 HMAC SHA1 密鑰。 


    # wanbootutil keygen -m
    keygen -m

    為 WAN Boot 伺服器建立主 HMAC SHA1 密鑰

  3. 由主密鑰建立用戶端的 HMAC SHA1 隨機密鑰。 


    # wanbootutil keygen -c -o [net=net-ip,{cid=client-ID,}]type=sha1
    -c

    由主密鑰建立用戶端的隨機密鑰。

    -o

    指出 wanbootutil keygen 指令中包含了其他的選項。

    (可選擇) net=net-ip

    指定用戶端的子網路的 IP 位址。 如果您不使用 net 選項，則密鑰會儲存在 /etc/netboot/keystore 檔案中，所有的 WAN Boot 用戶端均可使用它。

    (可選擇) cid=client-ID

    指定用戶端 ID。 用戶端 ID 可以是使用者定義的 ID，也可以是 DHCP 用戶端 ID。 cid 選項前必須有一個有效的 net= 值。 如果您未用 net 選項指定 cid 選項，則密鑰會儲存在 /etc/netboot/net-ip/keystore 檔案中。 net-ip 子網路上的所有 WAN Boot 用戶端均可使用該密鑰。

    type=sha1

    指示 wanbootutil keygen 公用程式為用戶端建立一個 HMAC SHA1 隨機密鑰。

  4. 決定是否需要為用戶端建立加密密鑰。

    您需要建立加密密鑰，以透過 HTTPS 執行 WAN Boot 安裝。 在用戶端建立與 WAN Boot 伺服器的 HTTPS 連接前，WAN Boot 伺服器會將已加密的資料和資訊傳送給用戶端。 加密密鑰可使用戶端解密此資訊，並在安裝中使用此資訊。

    • 如果您正在執行的是一個透過 HTTPS、且進行伺服器認證的更加安全的 WAN 安裝，請繼續。

    • 如果您只想檢查 wanboot 程式的完整性，則無需建立加密密鑰。 移至步驟 6。

  5. 建立用戶端的加密密鑰。 


    # wanbootutil keygen -c -o [net=net-ip,{cid=client-ID,}]type=key-type
    -c

    建立用戶端的加密密鑰。

    -o

    指出 wanbootutil keygen 指令中包含了其他的選項。

    (可選擇) net=net-ip

    指定用戶端的網路 IP 位址。 如果您不使用 net 選項，則密鑰會儲存在 /etc/netboot/keystore 檔案中，所有的 WAN Boot 用戶端均可使用它。

    (可選擇) cid=client-ID

    指定用戶端 ID。 用戶端 ID 可以是使用者定義的 ID 或 DHCP 用戶端 ID。 cid 選項前必須有一個有效的 net= 值。 如果您未用 net 選項指定 cid 選項，則密鑰會儲存在 /etc/netboot/net-ip/keystore 檔案中。 net-ip 子網路上的所有 WAN Boot 用戶端均可使用該密鑰。

    type=key-type

    指示 wanbootutil keygen 公用程式為用戶端建立一個加密密鑰。 可賦予 key-type 一個 3des 值或 aes 值。

  6. 在用戶端系統上安裝密鑰。

    如需有關如何在用戶端上安裝密鑰的說明，請參閱在用戶端上安裝密鑰 。

範例 43–4 為透過 HTTPS 進行的 WAN Boot 安裝建立必要的密鑰

以下範例為 WAN Boot 伺服器建立了一個主 HMAC SHA1 密鑰。 此範例還為子網路 192.168.255.0 上的用戶端 010003BA152A42 建立 HMAC SHA1 隨機密鑰和 3DES 加密密鑰。

在執行這些指令之前，您必須先假定使用者身份與 Web 伺服器使用者身份相同。 在此範例中，Web 伺服器使用者身份為 nobody。 


server# su nobody
Password:
nobody# wanbootutil keygen -m
nobody# wanbootutil keygen -c -o net=192.168.255.0,cid=010003BA152A42,type=sha1
nobody# wanbootutil keygen -c -o net=192.168.255.0,cid=010003BA152A42,type=3des