ADC

SSL 策略绑定

您可以全局绑定 SSL 策略,也可以仅绑定到 SSL 类型的虚拟服务器。在评估绑定到服务、虚拟服务器或其他 NetScaler 绑定点的所有策略后,将评估全局绑定策略。如果传入的数据与 SSL 策略中配置的任何规则相匹配,则会触发该策略并执行与之相关的操作。

将 SSL 策略绑定到虚拟服务器时,必须从以下绑定点中选择一个:

  • 请求(默认绑定点。策略评估在 SSL 握手完成后在 HTTP 层中完成。)

  • INTERCEPT_REQ(此选项适用于 Citrix Secure Web Gateway 设置。有关更多信息,请参阅 SSL 拦截的 SSL 策略基础设施)。

  • CLIENTHELLO_REQ

同样,在解除策略与虚拟服务器的绑定时,必须指定绑定点。

如果您指定 CLIENTHELLO_REQ 作为绑定点,则在收到客户端 hello 消息时会评估策略。允许的操作包括“重置”、“向前”和 caCertGrpName。重置操作会终止连接。转发操作将请求转发到负载平衡虚拟服务器进行处理。caCertGrpName 操作有选择地选择基于 SNI 的 CA 进行客户端身份验证。有关 SSL 操作的更多信息,请参阅 SSL 内置操作和用户定义的操作

注意: TLS 1.3 协议不支持动作 cacertgrpName。

使用 CLI 在全球范围内绑定 SSL 策略

在命令提示符处,键入以下命令以绑定全局 SSL 策略并验证配置:

bind ssl global - policyName <string> [- priority <positive_integer>]
show ssl global
<!--NeedCopy-->

示例:

bind ssl global -policyName Policy-SSL-2 -priority 90
Done

sh ssl global

     1) Name: Policy-SSL-2 Priority: 90
     2) Name: Policy-SSL-1 Priority: 100
     Done
<!--NeedCopy-->

使用 GUI 在全球范围内绑定 SSL 策略

  1. 导航到流量管理 > SSL > 策略
  2. 在详细信息窗格中,单击 全局绑定
  3. 在“将SSL 策略绑定/取消绑定到全局”对话框中,单击“插入策略”。
  4. 策略名称 列表中,选择一个策略。
  5. (可选)将条目拖到策略库中的新位置以自动更新优先级。
  6. 单击确定。状态栏中将显示一条消息,指出策略已成功绑定。

使用 CLI 将 SSL 策略绑定或取消绑定到虚拟服务器

在命令提示符下,键入以下命令将 SSL 策略绑定到虚拟服务器并验证配置:

bind ssl vserver <vServerName> -policyName <string> -priority <positive_integer> -type <type>

unbind ssl vserver <vServerName> -policyName <string> -priority <positive_integer> -type <type>

<!--NeedCopy-->

示例:

bind ssl vserver v1 -policyName pol1 -priority 1 -type CLIENTHELLO_REQ
<!--NeedCopy-->
unbind ssl vserver v1 -policyName pol1 -priority 1 -type CLIENTHELLO_REQ
<!--NeedCopy-->
show ssl vserver vs-server

Advanced SSL configuration for VServer vs-server:

DH: DISABLED

Ephemeral RSA: ENABLED          Refresh Count: 1000

Session Reuse: ENABLED          Timeout: 120 seconds

Cipher Redirect: DISABLED

SSLv2 Redirect: DISABLED

ClearText Port: 80

Client Auth: DISABLED

SSL Redirect: ENABLED

SSL-REDIRECT Port Rewrite: ENABLED

Non FIPS Ciphers: DISABLED

SSLv2: DISABLED SSLv3: ENABLED  TLSv1: ENABLED

1)      Policy Name: ssl-policy-1        Priority: 10

1)      Cipher Name: DEFAULT

            Description: Predefined Cipher Alias

Done
<!--NeedCopy-->

使用 GUI 将 SSL 策略绑定到虚拟服务器

  1. 导航到 流量管理 > 负载平衡 > 虚拟服务器,然后打开 SSL 虚拟服务器。
  2. 高级设置中,选择 SSL 策略。单击 SSL 策略 部分将策略绑定到虚拟服务器。
  3. 在“策略绑定”页面中,选择现有策略或添加新策略。
  4. 指定策略的优先级和类型(绑定点)。
  5. 选择“绑定”。
  6. 选择完成
SSL 策略绑定