ubuntu与securecrt如何实现双向认证

在Ubuntu系统上使用SecureCRT实现双向认证（也称为相互认证或客户端证书认证）涉及几个步骤。以下是一个基本的指南：

1. 生成CA证书和密钥

首先，你需要创建一个证书颁发机构（CA），并生成服务器和客户端的证书和密钥。

生成CA私钥

openssl genpkey -algorithm RSA -out ca-key.pem -aes256

生成CA证书

openssl req -x509 -new -nodes -key ca-key.pem -sha256 -days 1024 -out ca-cert.pem -subj /CN=MyCA

2. 生成服务器证书和密钥

生成服务器私钥

openssl genpkey -algorithm RSA -out server-key.pem -aes256

生成服务器证书签名请求（CSR）

openssl req -new -key server-key.pem -out server-csr.pem -subj /CN=localhost

使用CA证书签名服务器CSR

openssl x509 -req -in server-csr.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -days 500 -sha256

3. 生成客户端证书和密钥

生成客户端私钥

openssl genpkey -algorithm RSA -out client-key.pem -aes256

生成客户端证书签名请求（CSR）

openssl req -new -key client-key.pem -out client-csr.pem -subj /CN=clientuser

使用CA证书签名客户端CSR

openssl x509 -req -in client-csr.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem -days 500 -sha256

4. 配置SSH服务器

编辑SSH服务器配置文件 /etc/ssh/sshd_config，启用客户端证书认证：

sudo nano /etc/ssh/sshd_config

添加或修改以下行：

TrustAgentCertificate no
CertificateAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys %h

重启SSH服务以应用更改：

sudo systemctl restart sshd

5. 配置SecureCRT

在SecureCRT中配置SSH会话以使用客户端证书：

1. 打开SecureCRT并创建一个新的会话或编辑现有会话。
2. 导航到 Session Options -> Connection -> SSH2 -> User Authentication。
3. 在 Authentication 标签下，选择 Public Key 并浏览到客户端证书文件（例如 client-cert.pem）。
4. 确保 Private Key 也正确配置。

6. 测试连接

使用SecureCRT连接到服务器，确保双向认证成功。你应该会看到一个提示，要求接受服务器证书。接受后，连接应该成功建立。

注意事项

• 确保防火墙允许SSH连接。
• 确保CA证书在客户端和服务器上都可用，并且被信任。
• 客户端证书应该在客户端机器上安全存储，不要泄露私钥。

通过以上步骤，你应该能够在Ubuntu系统上使用SecureCRT实现双向认证。