วิธีการแก้ไขปัญหา 1: ใช้เฟิร์มแวร์ในตัวใบรับรอง CA ที่ลงนามด้วยตนเอง
1. ดาวน์โหลดใบรับรอง CA ในตัว
เฟิร์มแวร์มีใบรับรอง CA ในตัวผู้ใช้สามารถดาวน์โหลดใบรับรองจาก web หน้าจากนั้นนําเข้าใบรับรองไปยังระบบของพีซี
ไปที่การตั้งค่า -> ระบบ -> การบํารุงรักษา -> การกําหนดค่านําเข้า/ส่งออก คลิกที่ "ส่งออก" เพื่อส่งออกใบรับรอง CA

ใบรับรอง CA มีชื่อว่า "cacert.crt"

2. นําเข้าใบรับรอง CA เข้าสู่ระบบของพีซี
บนพีซีที่ใช้ Windows ให้ดับเบิลคลิกที่ไฟล์ "cacert.crt" เพื่อเริ่มการติดตั้ง
คุณสามารถดูระยะเวลาที่ใช้ได้ของใบรับรองคือ 10 ปี ตั้งแต่ 8/14/2023 ถึง 8/11/2023
คลิกที่ "ติดตั้งใบรับรอง..." เพื่อนําเข้าใบรับรอง

เลือก "เครื่องในเครื่อง" ในวิซาร์ดการนําเข้า จากนั้นคลิกที่ "ถัดไป"

เลือก "วางใบรับรองทั้งหมดในร้านค้าต่อไปนี้" จากนั้นคลิกที่ "เรียกดู..." และเลือก "ผู้ออกใบรับรองรูทที่เชื่อถือได้" จากนั้นตรวจสอบตกลงและไปที่ขั้นตอน "ถัดไป"

คลิกที่ "เสร็จสิ้น" เพื่อสิ้นสุดการติดตั้งใบรับรอง

3. ตรวจสอบเวลาของอุปกรณ์
ตรวจสอบให้แน่ใจว่าเวลาของอุปกรณ์อยู่ภายในระยะเวลาที่ถูกต้องของใบรับรอง
4. รีบูตอุปกรณ์
หาก IP ของอุปกรณ์มีการเปลี่ยนแปลง โปรดรีบูตอุปกรณ์เพื่อให้เบราว์เซอร์แสดงการเชื่อมต่อที่ "ปลอดภัย"

Q1: หลังจากเปลี่ยน IP ของอุปกรณ์ เหตุใดเบราว์เซอร์จึงแสดงการเชื่อมต่อ HTTPS "ไม่ปลอดภัย"
A1: เฟิร์มแวร์มีคีย์ส่วนตัว CA รากและรูท CA โดยค่าเริ่มต้น ทุกครั้งที่อุปกรณ์เริ่มทํางาน อุปกรณ์จะใช้ CA รากและคีย์ส่วนตัวเพื่อสร้างใบรับรองเซิร์ฟเวอร์และคีย์ส่วนตัวของเซิร์ฟเวอร์ตาม IP ของอุปกรณ์ปัจจุบัน
หลังจากเปลี่ยน IP ของอุปกรณ์ IP ของใบรับรองเซิร์ฟเวอร์ไม่ตรงกับอุปกรณ์ จากนั้นเบราว์เซอร์จะถือว่าเป็นใบรับรองที่ไม่ถูกต้อง ดังนั้นการเชื่อมต่อจะแสดง "ไม่ปลอดภัย"
รีบูตอุปกรณ์เพื่อให้สามารถสร้างใบรับรองเซิร์ฟเวอร์และคีย์ส่วนตัวของเซิร์ฟเวอร์ได้อีกครั้งตาม IP ใหม่ จากนั้นการเชื่อมต่อจะแสดง "ปลอดภัย" อีกครั้ง
Q2: หลังจากนําเข้าใบรับรอง CA ในตัวเฟิร์มแวร์เข้าสู่ระบบพีซีแล้วเหตุใดเบราว์เซอร์จึงยังคงแสดง "ไม่ปลอดภัย"
A2: หากคุณอัปโหลดใบรับรองเซิร์ฟเวอร์และคีย์ส่วนตัวของเซิร์ฟเวอร์ลงในอุปกรณ์ อุปกรณ์จะใช้ใบรับรองของคุณ เนื่องจากใบรับรองของคุณไม่ได้ลงนามโดย CA ในตัวของอุปกรณ์ การตรวจสอบจึงล้มเหลว ดังนั้นการเชื่อมต่อจึง "ไม่ปลอดภัย"
คุณสามารถนําเข้า CA รากที่ใช้สร้างใบรับรองของคุณเข้าสู่ระบบพีซี จากนั้นการเชื่อมต่อจะ "ปลอดภัย"
วิธีการแก้ไขปัญหา 2: ใช้ใบรับรอง CA ที่ลงนามด้วยตนเอง
1. สร้างใบรับรอง CA ที่ลงนามด้วยตนเอง
ติดตั้ง OpenSSL บนเครื่องเสมือน Linux จากนั้นใช้คําสั่งในขั้นตอนด้านล่างเพื่อสร้างใบรับรอง CA ที่ลงนามด้วยตนเอง
ขั้นตอนที่ 1: สร้างคีย์ส่วนตัว CA ราก
Example command: OpenSSL GenRSA -ออก rootCA.key 2048
("rootCA.key" เป็นชื่อคีย์ส่วนตัว คุณสามารถกําหนดได้ด้วยตัวเอง)
ขั้นตอนที่ 2: ใช้คีย์ส่วนตัว CA รากเพื่อสร้างคําขอ CA ราก
Example Command: openssl req -new -key rootCA.key -out rootCA.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN= ipc.security.com"
("rootCA.csr" คือชื่อไฟล์คําขอ CA ราก, /C=รหัสประเทศ, /ST=รหัสจังหวัด, /L=รหัสเมือง, /O=รหัสองค์กร, /OU=รหัสแผนก, /CN=ชื่อสามัญ, อาจเป็น IP หรือโดเมนหรือชื่อองค์กร)
ขั้นตอนที่ 3: ใช้คําขอ CA รากและคีย์ส่วนตัว CA รากเพื่อสร้าง CA ราก
Example command: openssl x509 -req -days 365 -in rootCA.csr -signkey rootCA.key -out rootCA.crt
(365 หมายถึงระยะเวลาการตรวจสอบความถูกต้องของ CA นี้คือ 365 วัน)

2. สร้างคีย์ส่วนตัวของเซิร์ฟเวอร์และใบรับรองเซิร์ฟเวอร์
ขั้นตอนที่ 1: สร้างคีย์ส่วนตัวของเซิร์ฟเวอร์
Example command: OpenSSL GenRSA -ออก server.key 2048
ขั้นตอนที่ 2: ใช้คีย์ส่วนตัวของเซิร์ฟเวอร์เพื่อสร้างคําขอใบรับรองเซิร์ฟเวอร์
Example command: openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN=192.168.1.120" -addext "subjectAltName=ไอพี:192.168.1.120"
(The server certificate will be uploaded the device side, the subjectAltName should be device IP or domain, or both, for example: "subjectAltName=DNS:ipc.support.comไอพี:192.168.1.120")
ขั้นตอนที่ 3: ใช้ CA ราก, คีย์ส่วนตัว CA ราก, คําขอใบรับรองเซิร์ฟเวอร์เพื่อสร้างใบรับรองเซิร์ฟเวอร์
Example command: openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -sha256 -extfile <(echo "subjectAltName=ไอพี:192.168.1.120")

3. อัปโหลดใบรับรองเซิร์ฟเวอร์และคีย์ส่วนตัวของเซิร์ฟเวอร์ลงในอุปกรณ์
ไปที่การตั้งค่า -> ระบบ -> ความปลอดภัย -> ใบรับรอง HTTPS เลือกใบรับรองเซิร์ฟเวอร์และคีย์ส่วนตัวของเซิร์ฟเวอร์ จากนั้นคลิกที่ "อัปโหลด"

4. นําเข้าใบรับรอง CA ที่ลงนามด้วยตนเองเข้าสู่ระบบของพีซี
อ้างถึง [นําเข้าใบรับรอง CA เข้าสู่ระบบของพีซี] ในโซลูชันที่ 1 เพื่อนําเข้าใบรับรอง CA ที่ลงนามด้วยตนเอง
5. เปลี่ยน IP ของอุปกรณ์และซิงโครไนซ์เวลาของอุปกรณ์
IP ของอุปกรณ์ควรสอดคล้องกับที่อยู่ IP ภายในใบรับรอง หากไม่เป็นเช่นนั้น โปรดเปลี่ยน IP ของอุปกรณ์ของคุณ
เวลาของอุปกรณ์ควรอยู่ภายในระยะเวลาที่ถูกต้องของใบรับรองเซิร์ฟเวอร์ หากไม่เป็นเช่นนั้น โปรดเปลี่ยนเวลาอุปกรณ์ของคุณ

วิธีการแก้ไขปัญหา 3: ใช้ใบรับรอง CA สาธารณะ
มีผู้ออกใบรับรองสาธารณะมากมาย เช่น DigiCert, Sectigo, GlobalSign เป็นต้น
ผู้ออกใบรับรองสาธารณะเหล่านั้นได้รับความไว้วางใจจากระบบปฏิบัติการและเบราว์เซอร์ยอดนิยมดังนั้นพวกเขาจะฝังใบรับรอง CA รากของตน
หากเซิร์ฟเวอร์ใช้ใบรับรองเซิร์ฟเวอร์ที่ลงนามโดยผู้ออกใบรับรองสาธารณะ CA รากไม่จําเป็นต้องนําเข้าไปยังระบบด้วยตนเอง
1. ป้อนข้อมูลคําขอใบรับรอง จากนั้นคลิกที่ "สร้าง" เพื่อสร้างคําขอใบรับรอง
(ชื่อสามัญควรเป็นที่อยู่ IP ของอุปกรณ์/โดเมน)

2. คลิกที่ "ส่งออก" เพื่อดาวน์โหลดไฟล์คําขอใบรับรอง ไฟล์มีชื่อเป็น "certreq.pem" ตามค่าเริ่มต้น

3. ส่งไฟล์คําขอใบรับรอง "certreq.pem" ไปยังผู้ออกใบรับรองสาธารณะเพื่อสร้าง/ลงนามใบรับรองเซิร์ฟเวอร์
Note: When Certificate Authority sign the server certificate, the server certificate must contain subjectAltName (for example: "subjectAltName=DNS:ipc.support.comIP:192.168.2.120") and the IP/Domain must be the same with device IP/Domian.
4. เลือกใบรับรองเซิร์ฟเวอร์ที่ลงนามโดยผู้ออกใบรับรองสาธารณะคลิกที่ "อัปโหลด" เพื่ออัปโหลดไปยังอุปกรณ์

5. เปิดเบราว์เซอร์อีกครั้งและเข้าถึงอุปกรณ์ผ่าน HTTPS การเชื่อมต่อจะแสดง "ปลอดภัย"


Q3: ผู้ออกใบรับรองให้ใบรับรองเซิร์ฟเวอร์ตาม CSR (ไฟล์คําขอใบรับรอง) ฉันสามารถอัปโหลดไฟล์ใบรับรองเดียวกันไปยังอุปกรณ์อื่นได้หรือไม่
A3: ไม่ ใบรับรองเซิร์ฟเวอร์ถูกสร้างขึ้นผ่าน CSR และ CSR ถูกสร้างขึ้นผ่านคีย์ส่วนตัวของเซิร์ฟเวอร์ เมื่อคุณสร้าง CSR (certreq.pem) บนอุปกรณ์ มันจะสร้างคีย์ส่วนตัวก่อน ทุกครั้งที่อุปกรณ์จะสร้างคีย์ส่วนตัวที่แตกต่างกันและจัดเก็บไว้ภายใน ดังนั้นใบรับรองเซิร์ฟเวอร์และคีย์ส่วนตัวของอุปกรณ์ของคุณจึงเป็นคู่
หากคุณกู้คืนอุปกรณ์คีย์ส่วนตัวก่อนหน้านี้จะถูกลบออกจากอุปกรณ์ในครั้งต่อไปอุปกรณ์จะสร้างคีย์ส่วนตัวใหม่ดังนั้นใบรับรองเซิร์ฟเวอร์เก่าที่สร้างขึ้นผ่าน CSR เก่าจะไม่ถูกต้องอีกต่อไป
Q4: จะอัปโหลดใบรับรองของผู้ออกใบรับรองไปยังอุปกรณ์ต่างๆ ได้อย่างไร
A4: หากคุณต้องการสมัครใบรับรองเซิร์ฟเวอร์จากผู้ออกใบรับรองและอัปโหลดใบรับรองเดียวกันลงในอุปกรณ์อื่น อย่าใช้อุปกรณ์เพื่อสร้าง CSR แต่สร้าง CSR และบันทึกคีย์ส่วนตัวด้วยตัวเอง หรือคุณสามารถขอให้ผู้ออกใบรับรองสร้างทั้งใบรับรองเซิร์ฟเวอร์และคีย์ส่วนตัวของเซิร์ฟเวอร์ให้คุณ จากนั้นอัปโหลดทั้งสองไฟล์ลงในอุปกรณ์
Q5: จะตรวจสอบข้อมูลใบรับรองเซิร์ฟเวอร์บนอุปกรณ์ได้อย่างไร?
ตอบ 5:
ขั้นตอนที่ 1. หลังจากนั้น เปิดใช้งานโหมด HTTPS จากนั้นเข้าถึงหน้าเว็บของอุปกรณ์โดย HTTPS

ขั้นตอนที่ 2. ถัดไป คลิกที่ไอคอน "ไม่ปลอดภัย" หรือ "ปลอดภัย" ของเบราว์เซอร์ จากนั้นคลิกที่ "รายละเอียดใบรับรอง" เพื่อตรวจสอบรายละเอียดใบรับรองปัจจุบัน


ขั้นตอนที่ 3 ระยะเวลาที่ใช้ได้ของใบรับรองเซิร์ฟเวอร์สามารถดูได้ที่ "ทั่วไป"

คุณสามารถค้นหา IP ของเซิร์ฟเวอร์/อุปกรณ์ที่กําหนดให้กับใบรับรองเซิร์ฟเวอร์นี้ได้
หมายเหตุ: ที่อยู่ IP ของอุปกรณ์ต้องสอดคล้องกับ IP ของใบรับรองเซิร์ฟเวอร์นี้ มิฉะนั้น เบราว์เซอร์จะไม่เชื่อถือใบรับรองเซิร์ฟเวอร์นี้ และการเชื่อมต่อ HTTPS จะแสดง "ไม่ปลอดภัย"
