In Citrix ADC 13.0
In Citrix ADC
In All products
Documentation produit
In Citrix ADC 13.0
In Citrix ADC
In All products
Citrix ADC
Current Release 12.1 11.1
Voir PDF

Interception SSL

January 21, 2021
Contribution de: 
C

Une appliance Citrix ADC configurée pour l’interception SSL agit comme un proxy. Il peut intercepter et déchiffrer le trafic SSL/TLS, inspecter la demande non chiffrée et permettre à un administrateur d’appliquer les règles de conformité et les contrôles de sécurité. L’interception SSL utilise une stratégie qui spécifie le trafic à intercepter, bloquer ou autoriser. Par exemple, le trafic à destination et en provenance de sites financiers, tels que les banques, ne doit pas être intercepté, mais d’autres trafic peuvent être interceptés, et les sites sur la liste noire peuvent être identifiés et bloqués. Citrix vous recommande de configurer une stratégie générique pour intercepter le trafic et des stratégies plus spécifiques pour contourner un certain trafic.

Le client et le proxy établissent une poignée de main HTTP/TLS. Le proxy établit une autre poignée de main HTTP/TLS avec le serveur et reçoit le certificat du serveur. Le proxy vérifie le certificat du serveur pour le compte du client et vérifie également la validité du certificat serveur à l’aide du protocole OCSP (Online Certificate Status Protocol). Il régénère le certificat du serveur, le signe à l’aide de la clé du certificat de l’autorité de certification installée sur l’appliance et le présente au client. Par conséquent, un certificat est utilisé entre le client et le dispositif Citrix ADC, et un autre certificat entre l’appliance et le serveur principal.

Important

Le certificat d’autorité de certification utilisé pour signer le certificat de serveur doit être préinstallé sur tous les périphériques clients, de sorte que le certificat de serveur régénéré soit approuvé par le client.

Pour le trafic HTTPS intercepté, le serveur proxy déchiffre le trafic sortant, accède à la requête HTTP en texte clair et peut utiliser n’importe quelle application de couche 7 pour traiter le trafic, par exemple en recherchant l’URL en texte brut et en autorisant ou en bloquant l’accès en fonction de la stratégie d’entreprise et de la réputation d’URL. Si la stratégie décide d’autoriser l’accès au serveur d’origine, le serveur proxy transmet la demande rechiffrée au service de destination (sur le serveur d’origine). Le proxy déchiffre la réponse à partir du serveur d’origine, accède à la réponse HTTP en texte clair et applique éventuellement toutes les stratégies à la réponse. Le proxy recrypte ensuite la réponse et la transmet au client. Si la décision de stratégie consiste à bloquer la demande au serveur d’origine, le proxy peut envoyer une réponse d’erreur, telle que HTTP 403, au client.

Pour effectuer l’interception SSL, en plus du serveur proxy configuré précédemment, vous devez configurer les éléments suivants sur l’appliance ADC :

  • Profil SSL
  • Stratégie SSL
  • Magasin de certificats CA
  • Apprentissage automatique des erreurs SSL et mise en cache

Remarque :

Le trafic HTTP/2 n’est pas intercepté par la fonctionnalité d’interception SSL.

Magasin de certificats d’interception SSL

Un certificat SSL, qui fait partie de toute transaction SSL, est un formulaire de données numérique (X509) qui identifie une société (domaine) ou un individu. Un certificat SSL est délivré par une autorité de certification (CA). Une AC peut être privée ou publique. Les certificats émis par des autorités de certification publiques, telles que Verisign, sont approuvés par les applications qui effectuent des transactions SSL. Ces applications tiennent à jour une liste d’autorités de certification qu’elles ont confiance.

En tant que proxy de transfert, l’appliance ADC effectue le chiffrement et le déchiffrement du trafic entre un client et un serveur. Il agit comme un serveur pour le client (utilisateur) et comme un client pour le serveur. Pour qu’une appliance puisse traiter le trafic HTTPS, elle doit valider l’identité d’un serveur afin d’éviter toute transaction frauduleuse. Par conséquent, en tant que client du serveur d’origine, l’appliance doit vérifier le certificat du serveur d’origine avant de l’accepter. Pour vérifier le certificat d’un serveur, tous les certificats (par exemple, certificats racine et intermédiaire) utilisés pour signer et émettre le certificat de serveur doivent être présents sur l’appliance. Un ensemble de certificats d’autorité de certification par défaut est préinstallé sur une appliance. L’appliance peut utiliser ces certificats pour vérifier presque tous les certificats d’origine et de serveur. Ce jeu par défaut ne peut pas être modifié. Toutefois, si votre déploiement nécessite plus de certificats d’autorité de certification, vous pouvez créer un ensemble de ces certificats et importer le bundle dans l’appliance. Un bundle peut également contenir un seul certificat.

Lorsque vous importez un bundle de certificats sur l’appliance, celle-ci télécharge le bundle à partir de l’emplacement distant et, après avoir vérifié que le bundle contient uniquement des certificats, l’installe sur l’appliance. Vous devez appliquer un ensemble de certificats avant de pouvoir l’utiliser pour valider un certificat de serveur. Vous pouvez également exporter un ensemble de certificats pour modification ou le stocker dans un emplacement hors connexion en tant que sauvegarde.

Importer et appliquer un ensemble de certificats d’autorité de certification sur l’appliance à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

import ssl certBundle <name> <src>
apply ssl certBundle <name>

show ssl certBundle

ARGUMENTS :

Nom :

Nom à affecter à l’ensemble de certificats importé. Doit commencer par un caractère alphanumérique ASCII ou un trait de soulignement (_), et ne doit contenir que des caractères alphanumériques ASCII, un trait de soulignement, un hachage (#), un point (.), deux points ( :), à (@), égal à (=) et un trait d’union (-). L’exigence suivante s’applique uniquement à l’interface de ligne de commande :

Si le nom comprend un ou plusieurs espaces, placez le nom entre guillemets doubles ou simples (par exemple, “mon fichier” ou ‘mon fichier’).

Longueur maximale : 31

src :

URL spécifiant le protocole, l’hôte et le chemin d’accès, y compris le nom du fichier, au bundle de certificats à importer ou à exporter. Par exemple, http://www.example.com/cert_bundle_file.

REMARQUE : L’importation échoue si l’objet à importer se trouve sur un serveur HTTPS qui nécessite l’authentification de certificat client pour l’accès.

Longueur maximale : 2047

Exemple :

import ssl certbundle swg-certbundle http://www.example.com/cert_bundle
apply ssl certBundle swg-certbundle

show ssl certbundle

            Name : swg-certbundle(Inuse)

            URL : http://www.example.com/cert_bundle

    Done

Importer et appliquer un ensemble de certificats d’autorité de certification sur l’appliance à l’aide de l’interface graphique

  1. Accédez à Sécurité > Proxy de transfert SSL > Mise en route > Bundles de certificats .
  2. Procédez comme suit :
    • Sélectionnez un ensemble de certificats dans la liste.
    • Pour ajouter un ensemble de certificats, cliquez sur « + » et spécifiez un nom et une URL source. Cliquez sur OK.
  3. Cliquez sur OK.

Supprimez un ensemble de certificats d’autorité de certification de l’appliance à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

remove certBundle <cert bundle name>

Exemple :

remove certBundle mytest-cacert

Exporter un ensemble de certificats d’autorité de certification à partir de l’appliance à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

export certBundle <cert bundle name> <Path to export>

ARGUMENTS :

Nom :

Nom à affecter à l’ensemble de certificats importé. Doit commencer par un caractère alphanumérique ASCII ou un trait de soulignement (_), et ne doit contenir que des caractères alphanumériques ASCII, un trait de soulignement, un hachage (#), un point (.), deux points ( :), à (@), égal à (=) et un trait d’union (-). L’exigence suivante s’applique uniquement à l’interface de ligne de commande :

Si le nom comprend un ou plusieurs espaces, placez le nom entre guillemets doubles ou simples (par exemple, “mon fichier” ou ‘mon fichier’).

Longueur maximale : 31

src :

URL spécifiant le protocole, l’hôte et le chemin d’accès, y compris le nom du fichier, au bundle de certificats à importer ou à exporter. Par exemple, http://www.example.com/cert_bundle_file.

REMARQUE : L’importation échoue si l’objet à importer se trouve sur un serveur HTTPS qui nécessite l’authentification de certificat client pour l’accès.

Longueur maximale : 2047

Exemple :

export certBundle mytest-cacert http://192.0.2.20/

Importer, appliquer et vérifier un ensemble de certificats de l’autorité de certification à partir du magasin de certificats de l’autorité de certification Mozilla CA

À l’invite de commandes, tapez :

> import certbundle mozilla_public_ca https://curl.haxx.se/ca/cacert.pem
Done

Pour appliquer le bundle, tapez :

> apply certbundle mozilla_public_ca
Done

Pour vérifier l’ensemble de certificats en cours d’utilisation, tapez :

> sh certbundle | grep mozilla
                Name : mozilla_public_ca (Inuse)

Limitations

  • Les lots de certificats ne sont pas pris en charge dans une configuration de cluster ou sur une appliance partitionnée.
  • Le protocole TLSv1.3 n’est pas pris en charge avec SSL Forward Proxy.

Infrastructure de stratégie SSL pour l’interception SSL

Une stratégie agit comme un filtre sur le trafic entrant. Les stratégies de l’appliance ADC permettent de définir comment gérer les connexions et les demandes par proxy. Le traitement est basé sur les actions configurées pour cette stratégie. Autrement dit, les données des demandes de connexion sont comparées à une règle spécifiée dans la stratégie et l’action est appliquée aux connexions qui correspondent à la règle (expression). Après avoir défini une action à affecter à la stratégie et créé la stratégie, vous devez la lier à un serveur proxy, de sorte qu’elle s’applique au trafic passant par ce serveur proxy.

Une stratégie SSL pour l’interception SSL évalue le trafic entrant et applique une action prédéfinie aux requêtes qui correspondent à une règle (expression). La décision d’intercepter, de contourner ou de réinitialiser une connexion est prise en fonction de la stratégie SSL définie. Vous pouvez configurer l’une des trois actions d’une stratégie : Intercept, BYPASS ou RESET. Vous devez spécifier une action lorsque vous créez une stratégie. Pour appliquer une stratégie, vous devez la lier à un serveur proxy de l’appliance. Pour spécifier qu’une stratégie est destinée à l’interception SSL, vous devez spécifier le type (point de liaison) comme INTERCEPT_REQ lorsque vous liez la stratégie à un serveur proxy. Lorsque vous dissociez une stratégie, vous devez spécifier le type INTERCEPT_REQ.

Note :

Le serveur proxy ne peut pas prendre la décision d’intercepter sauf si vous spécifiez une stratégie.

L’interception du trafic peut être basée sur n’importe quel attribut de poignée de main SSL. Le plus couramment utilisé est le domaine SSL. Le domaine SSL est généralement indiqué par les attributs de la poignée de main SSL. Il peut s’agir de la valeur de l’indicateur de nom de serveur extraite du message Hello client SSL, le cas échéant, ou de la valeur de nom alternatif de serveur (SAN) extraite du certificat du serveur d’origine. La stratégie d’interception SSL présente un attribut spécial, DETECTED_DOMAIN, qui permet aux clients de créer plus facilement des stratégies d’interception basées sur le domaine SSL à partir du certificat du serveur d’origine. Le client peut faire correspondre le nom de domaine avec une chaîne, une liste d’URL (jeu d’URL oupatset) ou une catégorie d’URL dérivée du domaine.

Créer une stratégie SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

add ssl policy <name> -rule <expression> -action <string>

Exemples :

Les exemples suivants concernent les stratégies avec des expressions qui utilisent l’detected_domainattribut pour rechercher un nom de domaine.

Ne pas intercepter le trafic vers une institution financière, telle que XYZBANK

add ssl policy pol1 -rule client.ssl.detected_domain.contains("XYZBANK") -action BYPASS

Ne pas autoriser un utilisateur à se connecter à YouTube à partir du réseau d’entreprise

add ssl policy pol2 -rule client.ssl.client.ssl.detected_domain.url_categorize(0,0).category.eq ("YouTube") -action RESET

Intercepter tout le trafic utilisateur

add ssl policy pol3 –rule true –action INTERCEPT

Si le client ne souhaite pas utiliser le domaine detected_domain, il peut utiliser l’un des attributs de handshake SSL pour extraire et déduire le domaine.

Par exemple, un nom de domaine est introuvable dans l’extension SNI du message client Hello. Le nom de domaine doit être extrait du certificat du serveur d’origine. Les exemples suivants concernent les stratégies avec des expressions qui vérifient la présence d’un nom de domaine dans le nom de sujet du certificat du serveur d’origine.

Intercepter tout le trafic utilisateur vers n’importe quel domaine Yahoo

add ssl policy pol4 -rule client.ssl.origin_server_cert.subject.contains("yahoo") –action INTERCEPT

Intercepter tout le trafic utilisateur pour la catégorie « Shopping/Retail »

add ssl policy pol_url_category -rule client.ssl.origin_server_cert.subject.URL_CATEGORIZE(0,0).CATEGORY.eq("Shopping/Retail") -action INTERCEPT

Intercepter tout le trafic utilisateur vers une URL non classée

add ssl policy pol_url_category -rule client.ssl.origin_server_cert.subject.url_categorize(0,0).category.eq("Uncategorized") -action INTERCEPT

Les exemples suivants concernent les stratégies qui correspondent au domaine par rapport à une entrée d’un jeu d’URL.

Intercepter tout le trafic utilisateur si le nom de domaine dans SNI correspond à une entrée de l’ensemble d’URL « top100 »

add ssl policy pol_url_set  -rule client.ssl.client_hello.SNI.URLSET_MATCHES_ANY("top100") -action INTERCEPT

Intercepter tout le trafic utilisateur du nom de domaine si le certificat du serveur d’origine correspond à une entrée de l’ensemble d’URL « top100 »

add ssl policy pol_url_set  -rule client.ssl.origin_server_cert.subject.URLSET_MATCHES_ANY("top100") -action INTERCEPT

Créer une stratégie SSL sur un serveur proxy à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > SSL > Stratégies.
  2. Sous l’onglet Stratégies SSL, cliquez sur Ajouter et spécifiez les paramètres suivants :
    • Nom de stratégie
    • Action de stratégie : sélectionnez l’interception, le contournement ou la réinitialisation.
    • Expression
  3. Cliquez sur Créer.

Liez une stratégie SSL à un serveur proxy à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

bind ssl vserver <vServerName> -policyName <string> -priority <positive_integer> -type  INTERCEPT_REQ

Exemple :

bind ssl vserver <name> -policyName pol1 -priority 10 -type INTERCEPT_REQ

Liez une stratégie SSL à un serveur proxy à l’aide de l’interface graphique

  1. Accédez à Sécurité > Proxy de transfert SSL > Serveurs virtuels proxy.
  2. Sélectionnez un serveur virtuel et cliquez sur Modifier.
  3. Dans Paramètres avancés, cliquez sur Stratégies SSL.
  4. Cliquez dans la zone Stratégie SSL .
  5. Dans Sélectionner une stratégie, sélectionnez une stratégie à lier.
  6. Dans Type, sélectionnez INTERCEPT_REQ.
  7. Cliquez sur Lier, puis sur OK .

Délier une stratégie SSL à un serveur proxy à l’aide de la ligne de commande

À l’invite de commandes, tapez :

unbind ssl vserver <vServerName> -policyName <string> -type INTERCEPT_REQ

Expressions SSL utilisées dans les stratégies SSL

Expression Description
CLIENT.SSL.CLIENT_HELLO.SNI.* Renvoie l’extension SNI dans un format de chaîne. Évaluez la chaîne pour voir si elle contient le texte spécifié. Exemple : client.ssl.client_hello.sni.contains (“xyz.com”)
CLIENT.SSL.ORIGIN_SERVER_CERT.* Renvoie un certificat, reçu d’un serveur principal, au format chaîne. Évaluez la chaîne pour voir si elle contient le texte spécifié. Exemple : client.ssl.origin_server_cert.subject.contains (“xyz.com”)
CLIENT.SSL.DETECTED_DOMAIN.* Renvoie un domaine, à partir de l’extension SNI ou du certificat du serveur d’origine, au format chaîne. Évaluez la chaîne pour voir si elle contient le texte spécifié. Exemple : client.ssl.detected_domaine.contains (“xyz.com”)

Apprentissage automatique des erreurs SSL

L’appliance ajoute un domaine à la liste de contournement SSL si le mode d’apprentissage est activé. Le mode d’apprentissage est basé sur le message d’alerte SSL reçu d’un client ou d’un serveur d’origine. Autrement dit, l’apprentissage dépend du client ou du serveur qui envoie un message d’alerte. Il n’y a pas d’apprentissage si un message d’alerte n’est pas envoyé. L’appliance apprend si l’une des conditions suivantes est remplie :

  1. Une demande de certificat client est reçue du serveur.

  2. L’une des alertes suivantes est reçue dans le cadre de la poignée de main :

    • BAD_CERTIFICATE
    • UNSUPPORTED_CERTIFICATE
    • CERTIFICATE_REVOKED
    • CERTIFICATE_EXPIRED
    • CERTIFICATE_UNKNOWN
    • UNKNOWN_CA (Si un client utilise l’épinglage, il envoie ce message d’alerte s’il reçoit un certificat de serveur.)
    • HANDSHAKE_FAILURE

Pour activer l’apprentissage, vous devez activer le cache d’erreurs et spécifier la mémoire réservée à l’apprentissage.

Activer l’apprentissage à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > SSL.

  2. Dans Paramètres, cliquez sur Modifier les paramètres SSL avancés.

  3. Dans Interception SSL, sélectionnez SSL Interception Error Cache.

  4. Dans SSL Interception Max Error Cache Memory, spécifiez la mémoire (en octets) à réserver.

    Cache d'erreurs

  5. Cliquez sur OK.

Activer l’apprentissage à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

set ssl parameter -ssliErrorCache ( ENABLED | DISABLED ) -ssliMaxErrorCacheMem <positive_integer>

Arguments :

SSLierrorCache :

Activez ou désactivez l’apprentissage dynamique et mettez en cache les informations apprises pour prendre les décisions suivantes d’intercepter ou de contourner les demandes. Lorsqu’elle est activée, l’appliance effectue une recherche de cache pour décider s’il faut contourner la demande.

Valeurs possibles : ENABLED, DISABLED

Valeur par défaut : DISABLED

SSLIMaxErrorCacheMem :

Spécifiez la mémoire maximale, en octets, qui peut être utilisée pour mettre en cache les données apprises. Cette mémoire est utilisée comme cache LRU afin que les anciennes entrées soient remplacées par de nouvelles entrées après épuisement de la limite de mémoire définie. La valeur 0 détermine automatiquement la limite.

Valeur par défaut : 0

Valeur minimale : 0

Valeur maximale : 4294967294

Profil SSL

Un profil SSL est un ensemble de paramètres SSL, tels que les chiffrements et les protocoles. Un profil est utile si vous avez des paramètres communs pour différents serveurs. Au lieu de spécifier les mêmes paramètres pour chaque serveur, vous pouvez créer un profil, spécifier les paramètres dans le profil, puis lier le profil à différents serveurs. Si aucun profil SSL frontal personnalisé n’est créé, le profil frontal par défaut est lié aux entités côté client. Ce profil vous permet de configurer les paramètres de gestion des connexions côté client.

Pour l’interception SSL, vous devez créer un profil SSL et activer l’interception SSL dans le profil. Un groupe de chiffrement par défaut est lié à ce profil, mais vous pouvez configurer d’autres chiffrements en fonction de votre déploiement. Liez un certificat d’autorité de certification d’interception SSL à ce profil, puis liez le profil à un serveur proxy. Pour l’interception SSL, les paramètres essentiels d’un profil sont ceux utilisés pour les actions suivantes :

  • Vérifiez l’état OCSP du certificat du serveur d’origine.
  • Déclenchez la renégociation du client si le serveur d’origine demande une renégociation.
  • Vérifiez le certificat du serveur d’origine avant de réutiliser la session SSL frontale.

Utilisez le profil back-end par défaut lors de la communication avec les serveurs d’origine. Définissez tous les paramètres côté serveur, tels que les suites de chiffrement, dans le profil principal par défaut. Un profil principal personnalisé n’est pas pris en charge.

Pour obtenir des exemples des paramètres SSL les plus couramment utilisés, consultez « Exemple de profil » à la fin de cette section.

La prise en charge du chiffre/protocole diffère sur le réseau interne et externe. Dans les tableaux suivants, la connexion entre les utilisateurs et une appliance ADC est le réseau interne. Le réseau externe se trouve entre l’appliance et Internet.

Image de profil SSL

Tableau 1 : Matrice de prise en charge du chiffre/protocole pour le réseau interne

(Chiffrement/Protocole)/Plateforme MPX (N3)* VPX
TLS 1.1/1.2 12.1, 13.0 12.1, 13.0
ECDHE/DHE (Exemple TLS1-ECDHE-RSA-AES128-SHA) 12.1, 13.0 12.1, 13.0
AES-GCM (Exemple TLS1.2-AES128-GCM-SHA256) 12.1, 13.0 12.1, 13.0
Ciphers SHA-2 (Exemple TLS1.2-AES-128-SHA256) 12.1, 13.0 12.1, 13.0
ECDSA (Exemple TLS1-ECDHE-ECDSA-AES256-SHA) 12.1, 13.0 12.1, 13.0

Tableau 2 : Matrice de prise en charge du chiffre/protocole pour le réseau externe

(Chiffrement/Protocole)/Plateforme MPX (N3)* VPX
TLS 1.1/1.2 12.1, 13.0 12.1, 13.0
ECDHE/DHE (Exemple TLS1-ECDHE-RSA-AES128-SHA) 12.1, 13.0 12.1, 13.0
AES-GCM (Exemple TLS1.2-AES128-GCM-SHA256) 12.1, 13.0 12.1, 13.0
Ciphers SHA-2 (Exemple TLS1.2-AES-128-SHA256) 12.1, 13.0 12.1, 13.0
ECDSA (Exemple TLS1-ECDHE-ECDSA-AES256-SHA) 12.1, 13.0 Non pris en charge

* Utilisez la commande sh hardware (show hardware) pour déterminer si votre appliance possède des puces N3.

Exemple :

sh hardware

Platform: NSMPX-22000 16\*CPU+24\*IX+12\*E1K+2\*E1K+4*CVM N3 2200100

Manufactured on: 8/19/2013

CPU: 2900MHZ

Host Id: 1006665862

Serial no: ENUK6298FT

Encoded serial no: ENUK6298FT

Done

Ajouter un profil SSL et activer l’interception SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

add ssl profile <name> -sslinterception ENABLED -ssliReneg ( ENABLED | DISABLED ) -ssliOCSPCheck ( ENABLED | DISABLED ) -ssliMaxSessPerServer <positive_integer>

Arguments :

sslInterception:

Activer ou désactiver l’interception des sessions SSL.

Valeurs possibles : ENABLED, DISABLED

Valeur par défaut : DISABLED

ssliReneg:

Activez ou désactivez le déclenchement de la renégociation client lorsqu’une demande de renégociation est reçue du serveur d’origine.

Valeurs possibles : ENABLED, DISABLED

Valeur par défaut : ENABLED

ssliOCSPCheck:

Activez ou désactivez la vérification OCSP pour un certificat de serveur d’origine.

Valeurs possibles : ENABLED, DISABLED

Valeur par défaut : ENABLED

ssliMaxSessPerServer:

Nombre maximal de sessions SSL à mettre en cache par serveur d’origine dynamique. Une session SSL unique est créée pour chaque extension SNI reçue du client dans un message de bonjour client. La session correspondante est utilisée pour la réutilisation de session serveur.

Valeur par défaut : 10

Valeur minimale : 1

Valeur maximale : 1000

Exemple :

add ssl profile swg_ssl_profile  -sslinterception ENABLED

Done

sh ssl profile swg_ssl_profile

1)    Name: swg_ssl_profile (Front-End)

                SSLv3: DISABLED               TLSv1.0: ENABLED  TLSv1.1: ENABLED  TLSv1.2: ENABLED

                Client Auth: DISABLED

                Use only bound CA certificates: DISABLED

                Strict CA checks:                               NO

                Session Reuse: ENABLED                              Timeout: 120 seconds

                DH: DISABLED

                DH Private-Key Exponent Size Limit: DISABLED   Ephemeral RSA: ENABLED                            Refresh Count: 0

                Deny SSL Renegotiation                                ALL

                Non FIPS Ciphers: DISABLED

                Cipher Redirect: DISABLED

                SSL Redirect: DISABLED

                Send Close-Notify: YES

                Strict Sig-Digest Check: DISABLED

                Push Encryption Trigger: Always

                PUSH encryption trigger timeout:             1 ms

                SNI: DISABLED

                OCSP Stapling: DISABLED

                Strict Host Header check for SNI enabled SSL sessions:                   NO

                Push flag:            0x0 (Auto)

                SSL quantum size:                            8 kB

                Encryption trigger timeout           100 mS

                Encryption trigger packet count:               45

                Subject/Issuer Name Insertion Format: Unicode

                SSL Interception: ENABLED

                SSL Interception OCSP Check: ENABLED

                SSL Interception End to End Renegotiation: ENABLED

                SSL Interception Server Cert Verification for Client Reuse: ENABLED

                SSL Interception Maximum Reuse Sessions per Server:  10

                Session Ticket: DISABLED              Session Ticket Lifetime: 300 (secs)

                HSTS: DISABLED

                HSTS IncludeSubDomains: NO

                HSTS Max-Age: 0

                ECC Curve: P_256, P_384, P_224, P_521

1)            Cipher Name: DEFAULT Priority :1

                Description: Predefined Cipher Alias

Done

Liez un certificat d’autorité de certification d’interception SSL à un profil SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

bind ssl profile <name> -ssliCACertkey <ssli-ca-cert>

Exemple :

bind ssl profile swg_ssl_profile -ssliCACertkey swg_ca_cert

Done

sh ssl profile swg_ssl_profile

1)            Name: swg_ssl_profile (Front-End)

                SSLv3: DISABLED               TLSv1.0: ENABLED  TLSv1.1: ENABLED  TLSv1.2: ENABLED

                Client Auth: DISABLED

                Use only bound CA certificates: DISABLED

                Strict CA checks:                               NO

                Session Reuse: ENABLED                              Timeout: 120 seconds

                DH: DISABLED

                DH Private-Key Exponent Size Limit: DISABLED   Ephemeral RSA: ENABLED                            Refresh Count: 0

                Deny SSL Renegotiation                                ALL

                Non FIPS Ciphers: DISABLED

                Cipher Redirect: DISABLED

                SSL Redirect: DISABLED

                Send Close-Notify: YES

                Strict Sig-Digest Check: DISABLED

                Push Encryption Trigger: Always

                PUSH encryption trigger timeout:             1 ms

                SNI: DISABLED

                OCSP Stapling: DISABLED

                Strict Host Header check for SNI enabled SSL sessions:                   NO

                Push flag:            0x0 (Auto)

                SSL quantum size:                            8 kB

                Encryption trigger timeout           100 mS

                Encryption trigger packet count:               45

                Subject/Issuer Name Insertion Format: Unicode

                SSL Interception: ENABLED

                SSL Interception OCSP Check: ENABLED

                SSL Interception End to End Renegotiation: ENABLED

                SSL Interception Server Cert Verification for Client Reuse: ENABLED

                SSL Interception Maximum Reuse Sessions per Server:  10

                Session Ticket: DISABLED              Session Ticket Lifetime: 300 (secs)

                HSTS: DISABLED

                HSTS IncludeSubDomains: NO

                HSTS Max-Age: 0

                ECC Curve: P_256, P_384, P_224, P_521

1)            Cipher Name: DEFAULT Priority :1

                Description: Predefined Cipher Alias

1)            SSL Interception CA CertKey Name: swg_ca_cert

Done

Liez un certificat d’autorité de certification d’interception SSL à un profil SSL à l’aide de l’interface graphique

  1. Accédez à Système > Profils > Profil SSL.

  2. Cliquez sur Ajouter.

  3. Spécifiez un nom pour le profil.

  4. Activer l’interception des sessions SSL.

  5. Cliquez sur OK.

  6. Dans Paramètres avancés, cliquez sur Clé de certificat.

  7. Spécifiez une clé de certificat d’autorité de certification d’interception SSL à lier au profil.

  8. Cliquez sur Sélectionner, puis sur Lier.

  9. Vous pouvez également configurer les chiffrements en fonction de votre déploiement.

    • Cliquez sur l’icône Modifier, puis cliquez sur Ajouter.
    • Sélectionnez un ou plusieurs groupes de chiffrement, puis cliquez sur la flèche droite.
    • Cliquez sur OK.

  10. Cliquez sur Terminé.

Liez un profil SSL à un serveur proxy à l’aide de l’interface graphique

  1. Accédez à Sécurité >Proxy de transfert SSL > Serveurs virtuels proxy, puis ajoutez un serveur ou sélectionnez un serveur à modifier.
  2. Dans Profile SSL, cliquez sur l’icône Modifier.
  3. Dans la liste Profil SSL, sélectionnez le profil SSL que vous avez créé précédemment.
  4. Cliquez sur OK.
  5. Cliquez sur Terminé.

Exemple de profil :

Name: swg_ssl_profile (Front-End)

                SSLv3: DISABLED               TLSv1.0: ENABLED  TLSv1.1: ENABLED  TLSv1.2: ENABLED

                Client Auth: DISABLED

                Use only bound CA certificates: DISABLED

                Strict CA checks:                               NO

                Session Reuse: ENABLED                              Timeout: 120 seconds

                DH: DISABLED

                DH Private-Key Exponent Size Limit: DISABLED   Ephemeral RSA: ENABLED                            Refresh Count: 0

                Deny SSL Renegotiation                                ALL

                Non FIPS Ciphers: DISABLED

                Cipher Redirect: DISABLED

                SSL Redirect: DISABLED

                Send Close-Notify: YES

                Strict Sig-Digest Check: DISABLED

                Push Encryption Trigger: Always

                PUSH encryption trigger timeout:             1 ms

                SNI: DISABLED

                OCSP Stapling: DISABLED

                Strict Host Header check for SNI enabled SSL sessions:                   NO

                Push flag:            0x0 (Auto)

                SSL quantum size:                            8 kB

                Encryption trigger timeout           100 mS

                Encryption trigger packet count:               45

                Subject/Issuer Name Insertion Format: Unicode

                SSL Interception: ENABLED

                SSL Interception OCSP Check: ENABLED

                SSL Interception End to End Renegotiation: ENABLED

                SSL Interception Maximum Reuse Sessions per Server:  10

                Session Ticket: DISABLED              Session Ticket Lifetime: 300 (secs)

                HSTS: DISABLED

                HSTS IncludeSubDomains: NO

                HSTS Max-Age: 0

                ECC Curve: P_256, P_384, P_224, P_521

1)            Cipher Name: DEFAULT Priority :1

                Description: Predefined Cipher Alias

1)            SSL Interception CA CertKey Name: swg_ca_cert
Interception SSL
January 21, 2021
Contribution de: 
C
January 21, 2021
Contribution de: 
C

Dans cet article