替换默认FortiGate SSL深度检测证书

当FortiGate对流量进行完整的SSL检测时，浏览器将收到安全证书警告，这是由于当使用完整的SSL检测时，FortiGate模拟发起SSL会话的接收者，然后解密并检查内容。 FortiGate然后重新加密内容，通过冒充发件人在FortiGate和收件人之间创建一个新的SSL会话，并将内容发送给最终用户。 这与“中间人”攻击中使用的过程相同，这就是为什么用户的设备可能会显示安全证书警告。

通常，当用户收到安全证书警告时，他们只需选择继续而不需要理解错误发生的原因，为了避免鼓励这种习惯，您可以防止警告首先出现。如果你使用企业域中可信的专用CA，你可以在FortiGate上生成CSR，从可信专用CA申请SSL证书，将证书导入FortiGate并配置FortiGate，由于在客户端中信任了域的CA，这样FortiGate使用这张证书进行SSL深度检测时客户端将不会收到告警。

本文使用FortiAuthenticator模拟企业信任CA，并使用FortiOS5.6进行展示。

 

1. 在FortiGate上生成证书请求

 

 2. 填写证书基本信息

 

 3. 下载生成的证书请求

 

4. 将生成的证书请求下载到本地

 

5. 在FAC的Local CA中选择导入

 

 6. 选择导入类型CSR，并上传FortiGate上生成的CSR导入的文件

 

7. 下载被FAC签名的本地证书

 

 8. 将签名完成的CRT文件下载到本地

 

9. 在FortiGate中导入CRT证书，选择本地证书方式导入

 

 

10. 在SSL深度检测选项中选择上传的新证书，大功搞成

 

 11. 测试访问baidu，未出现证书告警页面

 

 FAC的CA在电脑中受信任，FortiGate使用FAC颁发的证书进行SSL 深度检测时浏览器未出现证书告警