Giải pháp 1: Sử dụng chương trình cơ sở tích hợp chứng chỉ CA tự ký
1. Tải xuống chứng chỉ CA tích hợp sẵn
Phần sụn có chứng chỉ CA tích hợp, người dùng có thể tải xuống chứng chỉ từ web trang, sau đó nhập chứng chỉ vào hệ thống của PC.
Đi tới Cài đặt -> Hệ thống -> Bảo trì -> Cấu hình Nhập / Xuất, nhấp vào "Xuất" để xuất chứng chỉ CA.

Chứng chỉ CA được đặt tên là "cacert.crt".

2. Nhập chứng chỉ CA vào hệ thống của PC
Trên PC Windows, nhấp đúp vào tệp "cacert.crt" để bắt đầu cài đặt.
Bạn có thể thấy thời hạn hiệu lực của chứng chỉ là 10 năm, từ 14/8/2023 đến 8/11/2023.
Nhấp vào "Cài đặt chứng chỉ..." để nhập giấy chứng nhận.

Chọn "Máy cục bộ" trong trình hướng dẫn nhập, sau đó nhấp vào "Tiếp theo".

Chọn "Đặt tất cả các chứng chỉ vào cửa hàng sau", sau đó nhấp vào "Duyệt..." và chọn "Cơ quan chứng nhận gốc đáng tin cậy", sau đó kiểm tra OK và chuyển đến bước "Tiếp theo".

Nhấp vào "Hoàn tất" để hoàn tất cài đặt chứng chỉ.

3. Kiểm tra thời gian thiết bị
Đảm bảo rằng thời gian của thiết bị nằm trong thời hạn hiệu lực của chứng chỉ.
4. Khởi động lại thiết bị
Nếu IP thiết bị bị thay đổi, vui lòng khởi động lại thiết bị để trình duyệt hiển thị kết nối "an toàn".

Q1: Sau khi thay đổi IP của thiết bị, tại sao trình duyệt hiển thị kết nối HTTPS "Không an toàn"
A1: Phần sụn có khóa riêng CA gốc và CA gốc. Theo mặc định, mỗi khi thiết bị khởi động, nó sẽ sử dụng CA gốc và khóa riêng để tạo chứng chỉ máy chủ và khóa riêng máy chủ theo IP thiết bị hiện tại.
Sau khi thay đổi IP của thiết bị, IP chứng chỉ máy chủ không khớp với thiết bị, sau đó trình duyệt sẽ coi đó là chứng chỉ không hợp lệ, vì vậy kết nối sẽ hiển thị "Không an toàn".
Khởi động lại thiết bị để thiết bị có thể tạo lại chứng chỉ máy chủ và khóa riêng máy chủ theo IP mới, sau đó kết nối sẽ hiển thị lại "an toàn".
Q2: Sau khi nhập chứng chỉ CA tích hợp chương trình cơ sở vào hệ thống PC, tại sao trình duyệt vẫn hiển thị "Không an toàn"?
A2: Nếu bạn tải chứng chỉ máy chủ và khóa riêng máy chủ của riêng mình lên thiết bị, thì nó sẽ sử dụng chứng chỉ của bạn, vì chứng chỉ của bạn không được ký bởi CA tích hợp sẵn của thiết bị, quá trình xác minh không thành công do đó kết nối là "Không an toàn".
Bạn có thể nhập CA gốc đã được sử dụng để tạo chứng chỉ của bạn vào hệ thống PC, sau đó kết nối sẽ "an toàn".
Giải pháp 2: Sử dụng chứng chỉ CA tự ký
1. Tạo chứng chỉ CA tự ký
Cài đặt OpenSSL trên máy ảo Linux, sau đó sử dụng các lệnh trong các bước dưới đây để tạo chứng chỉ CA tự ký.
Bước 1: Tạo khóa riêng CA gốc
Example command: OpenSSL Genrsa -Out rootCA.key 2048
("rootCA.key" là tên khóa riêng tư, bạn có thể tự xác định)
Bước 2: Sử dụng khóa riêng CA gốc để tạo yêu cầu CA gốc.
Example Command: openssl req -new -key rootCA.key -out rootCA.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN= ipc.security.com"
("rootCA.csr" là tên tệp yêu cầu CA gốc, /C = mã quốc gia, / ST = mã tỉnh, / L = mã thành phố, / O = mã tổ chức, / OU = mã bộ phận, / CN = Tên chung, nó có thể là IP hoặc tên miền hoặc tên tổ chức)
Bước 3: Sử dụng yêu cầu CA gốc và khóa riêng CA gốc để tạo CA gốc.
Example command: openssl x509 -req -days 365 -in rootCA.csr -signkey rootCA.key -out rootCA.crt
(365 có nghĩa là thời gian hợp lệ của CA này là 365 ngày)

2. Tạo khóa riêng máy chủ và chứng chỉ máy chủ.
Bước 1: Tạo khóa riêng máy chủ
Example command: openssl genrsa -ra server.key 2048
Bước 2: Sử dụng khóa riêng của máy chủ để tạo yêu cầu chứng chỉ máy chủ.
Example command: openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=SNL/OU=TECH/CN=192.168.1.120" -addext "chủ đềAltName=IP: 192.168.1.120 "
(The server certificate will be uploaded the device side, the chủ đềAltName should be device IP or domain, or both, for example: "chủ đềAltName=DNS:ipc.support.com,IP: 192.168.1.120 ")
Bước 3: Sử dụng CA gốc, khóa riêng CA gốc, yêu cầu chứng chỉ máy chủ để tạo chứng chỉ máy chủ.
Example command: openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -sha256 -extfile <(echo "chủ đềAltName=IP: 192.168.1.120 ")

3. Tải chứng chỉ máy chủ và khóa riêng máy chủ lên thiết bị
Đi tới Cài đặt -> Hệ thống -> Bảo mật -> Chứng chỉ HTTPS, chọn chứng chỉ máy chủ và khóa riêng máy chủ của bạn, sau đó nhấp vào "Tải lên".

4. Nhập chứng chỉ CA tự ký vào hệ thống của PC
Tham khảo [Nhập chứng chỉ CA vào hệ thống của PC] trong Giải pháp 1 để nhập chứng chỉ CA tự ký.
5. Thay đổi IP thiết bị và đồng bộ hóa thời gian thiết bị
IP của thiết bị phải phù hợp với địa chỉ IP bên trong chứng chỉ. Nếu không, vui lòng thay đổi IP thiết bị của bạn.
Thời gian của thiết bị phải nằm trong khoảng thời gian hiệu lực của chứng chỉ máy chủ. Nếu không, vui lòng thay đổi thời gian thiết bị của bạn.

Giải pháp 3: Sử dụng chứng chỉ CA công cộng
Có rất nhiều Cơ quan cấp chứng chỉ công cộng, như DigiCert, Sectigo, GlobalSign, v.v.
Các Cơ quan cấp chứng chỉ công khai đó được tin tưởng bởi các hệ điều hành và trình duyệt phổ biến, vì vậy họ sẽ nhúng chứng chỉ CA gốc của họ.
Nếu máy chủ đang sử dụng chứng chỉ máy chủ được ký bởi Tổ chức cấp chứng chỉ công cộng, thì CA gốc không cần phải được nhập thủ công vào hệ thống.
1. Nhập thông tin yêu cầu chứng chỉ và sau đó nhấp vào "Tạo" để tạo yêu cầu chứng chỉ.
(Tên chung phải là địa chỉ / tên miền IP của thiết bị)

2. Nhấp vào "Xuất" để tải xuống tệp yêu cầu chứng chỉ. Tệp được đặt tên là "certreq.pem" theo mặc định.

3. Gửi tệp yêu cầu chứng chỉ "certreq.pem" đến Tổ chức cấp chứng chỉ công cộng để tạo/ký chứng chỉ máy chủ.
Note: When Certificate Authority sign the server certificate, the server certificate must contain chủ đềAltName (for example: "chủ đềAltName=DNS:ipc.support.com,IP:192.168.2.120") and the IP/Domain must be the same with device IP/Domian.
4. Chọn chứng chỉ máy chủ được ký bởi Cơ quan cấp chứng chỉ công cộng, nhấp vào "Tải lên" để tải lên thiết bị.

5. Mở lại trình duyệt và truy cập thiết bị qua HTTPS, kết nối sẽ hiển thị "an toàn".


Q3: Tổ chức cấp chứng chỉ cung cấp chứng chỉ máy chủ theo CSR (tệp yêu cầu chứng chỉ) của tôi, tôi có thể tải cùng một tệp chứng chỉ lên các thiết bị khác không?
A3: Không. Chứng chỉ máy chủ được tạo thông qua CSR và CSR được tạo thông qua khóa riêng của máy chủ. Khi bạn tạo CSR (certreq.pem) trên thiết bị, nó sẽ tạo khóa riêng trước. Mỗi lần thiết bị sẽ tạo một khóa riêng tư khác nhau và lưu trữ bên trong, vì vậy chứng chỉ máy chủ và khóa riêng thiết bị của bạn là một cặp.
Nếu bạn khôi phục thiết bị, khóa riêng trước đó sẽ bị xóa khỏi thiết bị, lần sau thiết bị sẽ tạo khóa riêng mới, do đó chứng chỉ máy chủ cũ được tạo thông qua CSR cũ sẽ không còn hiệu lực nữa.
Q4: Làm thế nào để tải chứng chỉ của Cơ quan cấp chứng chỉ lên các thiết bị khác nhau?
A4: Nếu bạn muốn đăng ký chứng chỉ máy chủ từ Certificate Authority và tải cùng một chứng chỉ lên các thiết bị khác nhau, thì Không sử dụng thiết bị để tạo CSR, mà hãy tự tạo CSR và lưu khóa riêng, hoặc bạn có thể yêu cầu Certificate Authority tạo cả chứng chỉ máy chủ và khóa riêng máy chủ cho bạn, sau đó tải cả hai file lên thiết bị.
Q5: Làm thế nào để kiểm tra thông tin chứng chỉ máy chủ trên thiết bị?
Đáp 5:
Bước 1. Bật chế độ HTTPS, sau đó truy cập trang web của thiết bị bằng HTTPS.

Bước 2. Nhấp vào biểu tượng "Không an toàn" hoặc "Bảo mật" của trình duyệt, sau đó nhấp vào "Chi tiết chứng chỉ" để kiểm tra chi tiết chứng chỉ hiện tại.


Bước 3. Thời gian hiệu lực của chứng chỉ máy chủ có thể được tìm thấy trong phần "Chung"

Bạn có thể tìm thấy IP máy chủ / thiết bị được gán cho chứng chỉ máy chủ này.
Lưu ý: Địa chỉ IP của thiết bị phải phù hợp với IP chứng chỉ máy chủ này, nếu không trình duyệt sẽ không tin tưởng chứng chỉ máy chủ này và kết nối HTTPS sẽ hiển thị "Không an toàn".
