## 6. Настройка протокола HTTPS на веб-сервере
### На компьютере SERVER-AD
1. В **Диспетчере служб IIS** выделите **Default Web Site**, щёлкните на **Параметры SSL**.
2. Установите флажок **Требовать SSL**, позицию **Сертификаты клиента** оставьте **Игнорировать**, нажмите **Применить** (справа).
> [!summary] Простыми словами
> Мы включили обязательное использование HTTPS. Теперь все запросы по `http://` будут автоматически отклоняться, а соединение возможно только по `https://` с шифрованием трафика.
## 7. Проверка доступа к веб-серверу
### На компьютере CLIENT-AD
1. Зайдите на `CLIENT-AD` от имени `user-req` и запустите **Internet Explorer**.
2. Обратитесь по протоколу `http://` к сайту по умолчанию: `http://study.su`. Убедитесь в том, что выдана ошибка (доступ запрещён).
3. Обратитесь по протоколу `https://` к сайту по умолчанию: `https://study.su`. Убедитесь в том, что страничка загружена.
> [!note] Примечание
> При первом обращении по HTTPS браузер может предупредить о недоверенном сертификате, так как корневой сертификат внутреннего ЦС не установлен в хранилище доверенных корневых ЦС на клиенте. В лабораторной среде это ожидаемое поведение.
### Настройка требования клиентского сертификата
### На компьютере SERVER-AD
4. В **Параметрах SSL** измените позицию **Сертификаты клиента** на **Требовать**. Нажмите **Применить**.
### На компьютере CLIENT-AD
5. Обратитесь по протоколу `https://` к сайту по умолчанию: `https://study.su`. Убедитесь в том, что выдана ошибка (требуется клиентский сертификат).
> [!attention] Важно
> После включения требования клиентских сертификатов соединение будет установлено только если клиент представит действительный сертификат, выпущенный доверенным ЦС.
## 8. Настройка взаимной аутентификации
### На компьютере SERVER-CA
1. Зайдите на `SERVER-CA` от имени `user-AdminCA`.
2. Создайте шаблон сертификата **Проверенный сеанс** с правами **Чтение** и **Заявка** для пользователя `user-req` и запретом **Записи**:
– Откройте **Центр сертификации** → **Шаблоны сертификатов** → **Управление**.
– Правой кнопкой на **Пользователь** → **Дублировать шаблон**.
– На вкладке **Общие** введите имя: `Проверенный сеанс`.
– На вкладке **Безопасность** добавьте `user-req`, установите **Чтение** и **Заявка**, снимите **Запись**.
– Вернитесь в **Центр сертификации** → **Шаблоны сертификатов** → **Создать** → **Выдаваемый шаблон** → выберите `Проверенный сеанс`.
### На компьютере CLIENT-AD
3. Запросите сертификат **Проверенный сеанс** от имени пользователя `user-req` с использованием веб-интерфейса и установите его:
– Откройте `http://server-ca.study.su/certsrv`
– **Запросить сертификат** → **Создать и выдать запрос к этому ЦС**
– Выберите шаблон **Проверенный сеанс**, **Выдать**, **Установить этот сертификат**.
4. Перезапустите браузер.
5. Обратитесь по протоколу `https://` к сайту по умолчанию: `https://study.su`. В появившемся окне **Выбор цифрового сертификата** выберите сертификат `user-req`.
6. Убедитесь в том, что страничка загружена.
> [!summary] Итог
> Мы настроили взаимную аутентификацию: сервер проверяет сертификат клиента, клиент проверяет сертификат сервера. Только при успешной проверке обеих сторон устанавливается защищённое соединение.
> [!note] Примечание
> Для включения «сильной» проверки статуса сертификата (в списках отзыва) необходимо выполнить следующие шаги: открыть **Internet Explorer**, **Сервис** → **Свойства обозревателя**, вкладка **Дополнительно**, поставить галочку **Проверять, не отозван ли сертификат сервера**. В этом случае могут возникнуть проблемы при обращении к серверу, если не удастся загрузить списки отзыва.