## 操作场景当业务要求服务器和客户端均需要验证合法性时，可以开启双向认证。开启之后，除了客户端需要验证服务器的合法性外，服务器也需要验证客户端的合法性。 ## 准备工作 1. 创建一个VPC及子网。操作请参考 [创建私有网络](https://www.volcengine.com/docs/6401/69467)。 2. 在子网内创建一台公网CLB实例和两台云服务器实例。操作请参考 [创建CLB实例](https://www.volcengine.com/docs/6406/68066)和 [创建云服务器](https://www.volcengine.com/docs/6396/67743)。 3. 两台云服务器实例部署Nginx服务。操作请参考 [搭建后端服务](https://www.volcengine.com/docs/6406/73688#.5q2l6aqk5LqM77ya5pCt5bu65ZCO56uv5pyN5Yqh)。 4. 创建后端服务器组，并添加两台云服务器实例。操作请参考 [创建后端服务器组](https://www.volcengine.com/docs/6406/68076) 和 [添加后端服务器](https://www.volcengine.com/docs/6406/71218) 。 5. 从[火山引擎证书中心购买证书](https://www.volcengine.com/docs/6638/118034)，或者从其他服务器商购买服务器证书并 [上传至火山引擎的证书中心](https://www.volcengine.com/docs/6638/118039) 。 6. 从私有CA购买私有证书。操作请参考 [私有CA快速入门](https://www.volcengine.com/docs/6638/198066) 。 ## 操作步骤 ### 步骤一：安装客户端证书 Linux客户端 1. 将私有证书压缩包[上传](https://www.volcengine.com/docs/6396/75254)至Linux客户端。 2. [登录linux客户端](https://www.volcengine.com/docs/6396/81032)，执行以下命令，解压压缩包。 `tar -vxf <证书名称> -C <指定目录，如 /root/ca>` 3. 修改目录权限。 `sudo chmod 700 /root/ca` Windows客户端 1. 将私有证书压缩包[上传](https://www.volcengine.com/docs/6396/75254)至Windwos客户端，并进行解压。 2. [登录Windows客户端](https://www.volcengine.com/docs/6396/81032)，同时按`win`按键和`R`按键，弹出运行对话框。 3. 输入`mmc`，单击**确定**按钮。 4. 单击**文件 \> 添加/删除管理单元**。 5. 选择证书选项，单击**添加**按钮。 6. 选择计算机账户选项，单击**下一步**。 7. 选择本地计算机（运行此控制台的计算机），单击**完成**按钮。 8. 在左侧导航栏，单击证书（本地计算机）。 9. 选择**企业信任**，单击右键。 10. 选择**所有任务 \> 导入**，单击**下一步**按钮。 11. 在文件名栏，单击浏览按钮，选中目标证书，单击**下一步**按钮。 12. 单击**完成**，等待证书导入完成。刷新即可查看。 ### 步骤二：配置HTTPS双向认证 1. 登录[CLB控制台](https://console.volcengine.com/clb/LoadBalancer)。 2. 在顶部导航栏，选择目标项目和地域。 3. 单击目标CLB实例右侧的**配置监听器**按钮，进入监听器列表页面。 4. 单击**添加监听器**按钮，参考下表完成监听器的基本配置。 |参数 |说明 |取值示例 | |---|---|---| |监听器名称 |配置监听器的名称。 |listener\-1 | |负载均衡协议 |选择CLB实例监听的协议类型。 |HTTPS | |监听端口 |指监听的端口。 |443 | |调度算法 |指定监听器转发请求遵循的规则。 |加权轮询（WRR） | 5. 超时时间使用默认值。 6. 参考下表为监听器配置更多高级功能。 |参数 |说明 |取值示例 | |---|---|---| |访问控制 |表示监听器是否对访问请求设置黑白名单控制。 |不开启 | |会话保持 |调度算法为“加权轮询（WRR）”时，可选择是否为监听器开启会话保持。 |不开启 | |开启HTTP 2.0 |选择是否开启CLB的前端协议版本为HTTP 2.0。 |关闭 | |带宽上限 |选择是否为监听器开启带宽限速。 |不开启 | 7. 单击**下一步**按钮，配置SSL证书。 |参数 |说明 |取值示例 | |---|---|---| |证书来源 |选择证书来源，支持火山引擎证书中心。 |火山引擎证书中心 | |选择服务器证书 |下拉选择服务器证书。 |xx\-certificate\-xx | |TLS安全策略 |选择是否开启TLS（Transport Layer Security，TLS）安全策略。 |是 | |选择策略 |选择TLS安全策略。 |tls_cipher_policy_1_2 | |双向认证 |选择是否开启双向认证。双向验证指除了客户端需要验证服务器的合法性外，服务器还需要验证客户端的合法性。若开启，请在CA证书参数栏下拉选择CA证书。 |开启、ca\-xx | 8. 在**默认后端服务器组**配置页面，选择预先创建的后端服务器组，然后单击**下一步**按钮。 9. 在**健康检查**配置页面，参数保持默认值不变，单击**下一步**按钮。 10. 在**配置审核**页面，确认配置项无误后，单击**确定**按钮，完成操作。

说明

本文使用默认转发规则，故没有配置自定义转发规则。

## 验证 Linux客户端 1. 执行以下命令： `sudo curl https://<服务器证书绑定的域名>:<端口> --resolve <服务器证书绑定的域名>: -v --cacert <证书所在目录>certificate_chain.pem --key <证书所在目录>private_key.key --cert <证书所在目录>certificate.pem` 示例如下 `sudo curl https://test.com:443 --resolve test.com:12.XX.XX.182 -v --cacert /root/ca/certificate_chain.pem --key /root/ca/private_key.key --cert /root/ca/certificate.pem` 2. 返回服务器部署服务的数据，则操作成功。 Windows客户端 1. 打开浏览器，输入`https://<域名:端口>`。 2. 返回服务器部署服务的数据，则操作成功。