Citrix ADC

查看 PDF

安装、链接和更新证书

August 24, 2021

贡献者:

要安装证书，请参阅添加或更新证书密钥对。

链接证书

许多服务器证书由多个分层证书颁发机构 (CA) 签名，这意味着证书形成了如下所示的链：

证书链

有时，中间 CA 被拆分为主中间 CA 证书和辅助中间 CA 证书。然后，证书形成一个链，如下所示：

证书链 2

客户端计算机通常在其本地证书存储中包含根 CA 证书，但不包含一个或多个中间 CA 证书。ADC 设备必须向客户端发送一个或多个中间 CA 证书。

注意： 设备不得向客户端发送根 CA 证书。公钥基础结构 (PKI) 信任关系模型要求通过带外方法在客户端上安装根 CA 证书。例如，证书包含在操作系统或 Web 浏览器中。客户端将忽略设备发送的根 CA 证书。

有时，标准 Web 浏览器无法识别为受信任 CA 的中间 CA 会颁发服务器证书。在这种情况下，必须将一个或多个 CA 证书与服务器自己的证书一起发送到客户端。否则，浏览器将终止 SSL 会话，因为它无法对服务器证书进行身份验证。

中间证书

视频链接到如何链接中间颁发机构证书。

请参阅以下部分以添加服务器证书和中间证书：

手动证书链接
自动证书链接
创建证书链

手动证书链接

注意： Citrix ADC FIPS 平台和群集设置中不支持此功能。

现在，您可以将服务器证书和最多九个中间证书分组到一个文件中，而不是添加和链接单个证书。您可以在添加证书密钥对时指定文件的名称。在执行此操作之前，请确保满足以下必备条件。

文件中的证书按以下顺序排列：
- 服务器证书（必须是文件中的第一个证书）
- 或者，服务器密钥
- 中间证书 1 (ic1)
- 中间证书 2 (ic2)
- 中间证书 3 (ic3) 等注意：为每个中间证书创建中间证书文件，名称为“<certificatebundlename>.pem_ic< n>”，其中 n 介于 1 和 9 之间。例如，bundle.pem_ic1，其中 bundle 是证书集的名称，ic1 是证书集中的第一个中间证书。
捆绑选项处于选中状态。
文件中存在的中间证书不超过九个。

将对文件进行解析，并标识服务器证书、中间证书和服务器密钥（如果存在）。首先，添加服务器证书和密钥。然后，按照将中间证书添加到文件中的顺序添加并相应地链接。

如果存在以下任一条件，则报告错误：

设备上存在一个中间证书的证书文件。
密钥放在文件中的服务器证书之前。
中间证书放置在服务器证书之前。
中间证书的放置顺序不与其创建相同。
文件中没有证书。
证书不是正确的 PEM 格式。
文件中的中间证书数量超过 9 个。

使用 CLI 添加证书集

在命令提示符下，键入以下命令以创建证书集并验证配置：

add ssl certKey <certkeyName> -cert <string> -key <string> -bundle (YES | NO)

show ssl

show ssl certlink
<!--NeedCopy-->

在以下示例中，证书集（bundle.pem）包含以下文件：

链接到 bundle_ic1 的服务器证书 (bundle)

链接到 bundle_ic2 的第一个中间证书 (bundle_ic1)

链接到 bundle_ic3 的第二个中间证书 (bundle_ic2)

第三个中间证书 (bundle_ic3)

add ssl certKey bundletest -cert bundle9.pem -key bundle9.pem -bundle yes

sh ssl certkey

1)      Name: ns-server-certificate
        Cert Path: ns-server.cert
        Key Path: ns-server.key
        Format: PEM
        Status: Valid,   Days to expiration:5733
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Server Certificate
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=US,ST=California,L=San Jose,O=Citrix ANG,OU=NS Internal,CN=default OULLFT
        Validity
                Not Before: Apr 21 15:56:16 2016 GMT
                Not After : Mar  3 06:30:56 2032 GMT
        Subject:  C=US,ST=California,L=San Jose,O=Citrix ANG,OU=NS Internal,CN=default OULLFT
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

2)      Name: servercert
        Cert Path: complete/server/server_rsa_1024.pem
        Key Path: complete/server/server_rsa_1024.ky
        Format: PEM
        Status: Valid,   Days to expiration:7150
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Server Certificate
        Version: 3
        Serial Number: 1F
        Signature Algorithm: sha1WithRSAEncryption
        Issuer:  C=IN,ST=KAR,O=Citrix R&D Pvt Ltd,CN=Citrix
        Validity
                Not Before: Sep  2 09:54:07 2008 GMT
                Not After : Jan 19 09:54:07 2036 GMT
        Subject:  C=IN,ST=KAR,O=Citrix Pvt Ltd,CN=Citrix
        Public Key Algorithm: rsaEncryption
        Public Key size: 1024

3)      Name: bundletest
        Cert Path: bundle9.pem
        Key Path: bundle9.pem
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Server Certificate
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=ICA9
        Validity
                Not Before: Nov 28 06:43:11 2014 GMT
                Not After : Nov 25 06:43:11 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=Server9
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

4)      Name: bundletest_ic1
        Cert Path: bundle9.pem_ic1
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Intermediate CA
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=ICA8
        Validity
                Not Before: Nov 28 06:42:56 2014 GMT
                Not After : Nov 25 06:42:56 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=ICA9
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

5)      Name: bundletest_ic2
        Cert Path: bundle9.pem_ic2
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Intermediate CA
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=ICA7
        Validity
                Not Before: Nov 28 06:42:55 2014 GMT
                Not After : Nov 25 06:42:55 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=ICA8
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

6)      Name: bundletest_ic3
        Cert Path: bundle9.pem_ic3
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Intermediate CA
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=ICA6
        Validity
                Not Before: Nov 28 06:42:53 2014 GMT
                Not After : Nov 25 06:42:53 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=ICA7
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

7)      Name: bundletest_ic4
        Cert Path: bundle9.pem_ic4
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Intermediate CA
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=ICA5
        Validity
                Not Before: Nov 28 06:42:51 2014 GMT
                Not After : Nov 25 06:42:51 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=ICA6
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

8)      Name: bundletest_ic5
        Cert Path: bundle9.pem_ic5
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Intermediate CA
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=ICA4
        Validity
                Not Before: Nov 28 06:42:50 2014 GMT
                Not After : Nov 25 06:42:50 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=ICA5
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

9)      Name: bundletest_ic6
        Cert Path: bundle9.pem_ic6
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Intermediate CA
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=ICA3
        Validity
                Not Before: Nov 28 06:42:48 2014 GMT
                Not After : Nov 25 06:42:48 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=ICA4
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

10)     Name: bundletest_ic7
        Cert Path: bundle9.pem_ic7
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Intermediate CA
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=ICA2
        Validity
                Not Before: Nov 28 06:42:46 2014 GMT
                Not After : Nov 25 06:42:46 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=ICA3
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

11)     Name: bundletest_ic8
        Cert Path: bundle9.pem_ic8
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Intermediate CA
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=ICA1
        Validity
                Not Before: Nov 28 06:42:45 2014 GMT
                Not After : Nov 25 06:42:45 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=ICA2
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048

12)     Name: bundletest_ic9
        Cert Path: bundle9.pem_ic9
        Format: PEM
        Status: Valid,   Days to expiration:3078
        Certificate Expiry Monitor: ENABLED
        Expiry Notification period: 30 days
        Certificate Type: Intermediate CA
        Version: 3
        Serial Number: 01
        Signature Algorithm: sha256WithRSAEncryption
        Issuer:  C=IN,ST=ka,O=sslteam,CN=RootCA4096
        Validity
                Not Before: Nov 28 06:42:43 2014 GMT
                Not After : Nov 25 06:42:43 2024 GMT
        Subject:  C=IN,ST=ka,O=sslteam,CN=ICA1
        Public Key Algorithm: rsaEncryption
        Public Key size: 2048
Done

sh ssl certlink

1)      Cert Name: bundletest    CA Cert Name: bundletest_ic1
2)      Cert Name: bundletest_ic1        CA Cert Name: bundletest_ic2
3)      Cert Name: bundletest_ic2        CA Cert Name: bundletest_ic3
4)      Cert Name: bundletest_ic3        CA Cert Name: bundletest_ic4
5)      Cert Name: bundletest_ic4        CA Cert Name: bundletest_ic5
6)      Cert Name: bundletest_ic5        CA Cert Name: bundletest_ic6
7)      Cert Name: bundletest_ic6        CA Cert Name: bundletest_ic7
8)      Cert Name: bundletest_ic7        CA Cert Name: bundletest_ic8
9)      Cert Name: bundletest_ic8        CA Cert Name: bundletest_ic9
Done
<!--NeedCopy-->

使用 GUI 添加证书集

导航到 流量管理 > SSL > 证书 > CA 证书。
在详细信息窗格中，单击 Install（安装）。
在“安 装证书”对话框中，键入详细信息，如证书和密钥文件名，然后选择“证书捆绑”。
单击 “ 安装”，然后单击 “ 关闭”。

自动证书链接

注意： 此功能可从版本 13.0 版本 47.x 中获得。

您不再需要手动将证书链接到其颁发者到根证书。如果设备上存在中间 CA 证书和根证书，则可以单击最终用户证书中的“链接”按钮。

链接证书按钮

将显示潜在链。

自动化证书链接潜在链

单击 链接证书 以链接所有证书。

链接证书链

创建证书链

您可以创建证书链，而不是使用一组证书（单个文件）。链将服务器证书链接到其颁发机构（中间 CA）。此方法要求中间 CA 证书文件安装在 ADC 设备上，并且客户端应用程序必须信任该链中的其中一个证书。例如，将证书-中间体-A 链接到证书-中间体-B，其中 Cert-中间体-B 链接到 Cert-中间体-C，后者是客户端应用程序信任的证书。

注意： 设备支持在发送到客户端的证书链中最多发送 10 个证书（一个服务器证书和九个 CA 证书）。

使用 CLI 创建证书链

在命令提示符处，键入以下命令以创建证书链并验证配置。（对链中的每个新链接重复第一个命令。）

link ssl certkey <certKeyName> <linkCertKeyName>
show ssl certlink
<!--NeedCopy-->

示例：

link ssl certkey siteAcertkey CAcertkey
Done

show ssl certlink

linked certificate:
       1) Cert Name: siteAcertkey CA Cert Name: CAcertkey
Done
<!--NeedCopy-->

通过使用 GUI 创建证书链

导航到 流量管理 > SSL > 证书。
选择一个服务器证书，然后在“操作”列表中选择“链接”，然后指定 CA 证书名称。

更新现有服务器证书

要手动更改现有服务器证书，必须执行以下步骤：

从虚拟服务器中解除旧证书的绑定。
从设备中删除证书。
将新证书添加到设备。
将新证书绑定到虚拟服务器。

为了减少替换证书密钥对时的停机时间，您可以更新现有证书。如果要将证书替换为颁发给其他域的证书，则必须在更新证书之前禁用域检查。

要接收有关即将到期的证书的通知，您可以启用到期监视器。

从配置的 SSL 虚拟服务器或服务中删除或解除绑定证书时，虚拟服务器或服务将变为非活动状态。在绑定新的有效证书后，它们将处于活动状态。为了减少停机时间，您可以使用更新功能替换绑定到 SSL 虚拟服务器或 SSL 服务的证书密钥对。

有关如何更新 Citrix ADC 设备上的 SSL 证书的概述图。

如何更新现有证书的视频链接。

使用 CLI 更新现有的证书密钥对

在命令提示符下，键入以下命令以更新现有证书密钥对并验证配置：

update ssl certkey <certkeyName> -cert <string> -key <string>

show ssl certKey <certkeyName>
<!--NeedCopy-->

示例：

update ssl certkey siteAcertkey -cert /nsconfig/ssl/cert.pem -key /nsconfig/ssl/pkey.pem

Done

show ssl certkey siteAcertkey

Name: siteAcertkey       Status: Valid
           Version: 3
           Serial Number: 02
           Signature Algorithm: md5WithRSAEncryption
           Issuer: /C=US/ST=CA/L=Santa Clara/O=siteA/OU=Tech
           Validity
                Not Before: Nov 11 14:58:18 2001 GMT
                Not After: Aug 7 14:58:18 2004 GMT
           Subject: /C=US/ST-CA/L=San Jose/O=CA/OU=Security
           Public Key Algorithm: rsaEncryption
           Public Key size: 2048
Done
<!--NeedCopy-->

使用 GUI 更新现有的证书密钥对

导航到 流量管理 > SSL > 证书 > 服务器证书。
选择要更新的证书，然后单击更新。
选择 更新证书和密钥。
在“证书文件名”中，单击“选择文件”>“本地”，然后浏览到更新的 .pfx 文件或证书 PEM 文件。
- 如果您上传 .pfx 文件，系统将提示您指定 .pfx 文件密码。
- 如果您上传证书 pem 文件，则还必须上传证书密钥文件。如果密钥已加密，则必须指定加密密码。
如果新证书的公用名与旧证书不匹配，则选择“无域检查”。
单击 OK（确定）。将自动更新此证书绑定到的所有 SSL 虚拟服务器。
替换证书后，您可能需要将证书链接更新到新的中间证书。有关在不中断链接的情况下更新中间证书的详细信息，请参阅在不中断链接的情况下更新中间证书。
- 右键单击更新的证书，然后单击 Cert 链接，以查看它是否链接到中间证书。
- 如果证书未链接，请右键单击更新的证书，然后单击“链接”将其链接到中间证书。如果没有看到链接选项，则必须首先在“CA 证书”节点下的设备上安装新的中间证 书。

更新现有 CA 证书

更新现有 CA 证书的步骤与更新现有服务器证书的步骤相同。唯一的区别是在 CA 证书的情况下，您不需要密钥。

更新 CA 证书

禁用域检查

在设备上替换 SSL 证书时，新证书上提到的域名必须与正在替换的证书的域名相匹配。例如，如果您有颁发给 abc.com 的证书，并且您正在使用颁发给 def.com 的证书进行更新，则证书更新将失败。

但是，如果您希望托管特定域的服务器托管新域，请在更新其证书之前禁用域检查。

使用 CLI 禁用证书的域检查

在命令提示符下，键入以下命令以禁用域检查并验证配置：

update ssl certKey <certkeyName> -noDomainCheck

show ssl certKey <certkeyName>
<!--NeedCopy-->

示例：

update ssl certKey sv -noDomainCheck

Done

show ssl certkey sv

Name: sv
Cert Path: /nsconfig/ssl/complete/server/server_rsa_512.pem
Key Path: /nsconfig/ssl/complete/server/server_rsa_512.ky
Format: PEM
Status: Valid,   Days to expiration:9349
Certificate Expiry Monitor: DISABLED
Done
<!--NeedCopy-->

通过使用 GUI 禁用证书的域检查

导航到“流量管理”>“SSL”>“证书”，选择一个证书，然后单击“更新”。
选择“无域检查”。

将 ADC 设备的默认证书替换为与设备主机名匹配的受信任 CA 证书

以下过程假定默认证书 (ns-server-certificate) 绑定到内部服务。

导航到“流量管理”>“SSL”>“SSL 证书”>“创建证书请求”。
通用名称，键入 test.citrixadc.com。
将 CSR 提交给受信任的证书颁发机构。
收到来自受信任 CA 的证书后，将文件复制到目 /nsconfig/ssl 录中。
导航到 流量管理 > SSL > 证书 > 服务器证书。
选择默认服务器证书 (ns-server-certificate)，然后单击“更新”。
在“更新证书”对话框的“证书文件名”中，浏览到签名后从 CA 收到的证书。
在“密钥文件名”字段中，指定默认的私钥文件名 (ns-server.key)。
选择“无域检查”。
单击 OK（确定）。

启用到期监视器

SSL 证书在特定时间段内有效。典型部署包括多个处理 SSL 事务的虚拟服务器，绑定到这些服务器的证书可以在不同的时间过期。当配置的证书即将过期时，在设备上配置的过期监视器会在设备的 syslog 和 ns 审核日志中创建条目。

如果要为证书到期创建 SNMP 警报，则必须单独配置它们。

使用 CLI 为证书启用过期监视器

在命令提示符下，键入以下命令以启用证书的过期监视器并验证配置：

set ssl certKey <certkeyName> [-expiryMonitor ( ENABLED | DISABLED ) [-notificationPeriod <positive_integer>]]

show ssl certKey <certkeyName>
<!--NeedCopy-->

示例：

set ssl certKey sv -expiryMonitor ENABLED –notificationPeriod 60
Done
<!--NeedCopy-->

通过使用 GUI 为证书启用过期监视器

导航到“流量管理”>“SSL”>“证书”，选择一个证书，然后单击“更新”。
选择“到期时通知”，并可选择指定通知期间。

更新中间证书而不破坏链接

您现在可以更新中间证书，而不会破坏任何现有链接。由要替换的证书颁发的链接证书中的“授权密钥标识符”扩展不得包含颁发机构证书序列号（“授权证书序列号”）字段。如果“AuthorityKeyIdentifier”扩展包含序列号字段，则旧证书和新证书的证书序列号必须相同。如果满足上述条件，您可以更新链接中的任意数量的证书（一次一个）。以前，如果更新了中间证书，则链接断开。

例如，有四个证书：CertA、CertB、CertC 和 CertD。证书 CertA 是 CertB 的颁发者，CertB 是 CertC 的颁发者，以此类推。如果要将中间证书 CertB 替换为 CertB_new（不断开链接），必须满足以下条件：

如果满足以下两个条件，则的 CertB 的证书序列号必须与 CertB_new 的证书序列号匹配：

AuthorityKeyIdentifier 扩展名存在于中CertC 。
此扩展包含序列号字段。

如果证书中的公用名更改，则在更新证书时指定nodomaincheck。

在上面的示例中，要将“www.example.com”中CertD 更改为“*.example.com”，请选择“无域检查”参数。

使用 CLI 更新证书

在命令提示符下，键入：

update ssl certKey <certkeyName> -cert <string> [-password] -key <string>  [-noDomainCheck]
<!--NeedCopy-->

示例：

update ssl certkey siteAcertkey -cert /nsconfig/ssl/cert.pem -key /nsconfig/ssl/pkey.pem -noDomainCheck
<!--NeedCopy-->

显示证书链

证书包含签发机构的名称和签发证书的对象。要验证证书，您必须查看该证书的颁发者并确认您是否信任颁发者。如果您不信任颁发者，则必须查看颁发者证书的颁发者。上升链，直到您到达根 CA 证书或您信任的颁发者。

作为 SSL 握手的一部分，当客户端请求证书时，设备会显示设备上存在的证书和颁发者证书链。管理员可以查看设备上存在的证书的证书链，并安装任何缺失的证书。

使用 CLI 查看设备上存在的证书的证书链

在命令提示符下，键入：

show ssl certchain <cert_name>
<!--NeedCopy-->

示例

有 3 个证书：c1、c2 和 c3。证书 c3 是根 CA 证书，签名 c2，c2 签名 c1。以下示例说明了不同方案中 show ssl certchain c1 命令的输出。

假设情况 1：

证书 c2 链接到 c1，c3 链接到 c2。

证书 c3 是根 CA 证书。

如果运行以下命令，则会显示到根 CA 证书的证书链接。

show ssl certchain c1

Certificate chain details of certificate name c1 are:
    1) Certificate name: c2               linked; not a root certificate
    2) Certificate name: c3               linked; root certificate
Done
<!--NeedCopy-->

假设情况 2：

证书 c2 链接到 c1。

证书 c2 不是根 CA 证书。

如果运行以下命令，则会显示证书 c3 是根 CA 证书但未链接到 c2 的信息。

show ssl certchain c1

Certificate chain  details of certificate name c1 are:
    1) Certificate Name: c2               linked; not a root certificate
    2) Certificate Name: c3               not linked; root certificate
    Done
<!--NeedCopy-->

假设情况 3：

证书 c1、c2 和 c3 未链接，但存在于设备上。

如果运行以下命令，则会显示以证书 c1 颁发者开始的所有证书的信息。还指定证书不链接。

show ssl certchain c1

Certificate chain details of certificate name c1 are:
    1) Certificate Name: c2               not linked; not a root certificate
    2) Certificate Name: c3               not linked; root certificate
    Done
<!--NeedCopy-->

假设情况 4：

证书 c2 链接到 c1。

证书 c3 不存在于设备上。

如果运行以下命令，则会显示有关链接到 c1 的证书的信息。系统会提示您添加使用 c2 中指定的使用者名称的证书。在这种情况下，系统会要求用户添加根 CA 证书 c3。

show ssl certchain c1

Certificate chain details of certificate name c1 are:
    1) Certificate Name: c2               linked; not a root certificate
    2) Certificate Name: /C=IN/ST=ka/O=netscaler/CN=test
       Action: Add a certificate with this subject name.
Done
<!--NeedCopy-->

设想情况 5：

证书未链接到证书 c1，并且设备上不存在 c1 的颁发者证书。

如果运行以下命令，系统会提示您在证书 c1 中添加使用主题名称的证书。

sh ssl certchain c1

Certificate chain details of certificate name c1 are:
    1) Certificate Name: /ST=KA/C=IN
       Action: Add a certificate with this subject name.
<!--NeedCopy-->

本内容的正式版本为英文版。部分 Citrix 文档内容采用了机器翻译，仅供您参考。Citrix 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Citrix 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Citrix 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Citrix 不承担任何责任。

安装、链接和更新证书

August 24, 2021

贡献者:

August 24, 2021

贡献者: