This content has been machine translated dynamically.
Dieser Inhalt ist eine maschinelle Übersetzung, die dynamisch erstellt wurde. (Haftungsausschluss)
Cet article a été traduit automatiquement de manière dynamique. (Clause de non responsabilité)
Este artículo lo ha traducido una máquina de forma dinámica. (Aviso legal)
此内容已动态机器翻译。 放弃
このコンテンツは動的に機械翻訳されています。免責事項
This content has been machine translated dynamically.
This content has been machine translated dynamically.
This content has been machine translated dynamically.
This article has been machine translated.
Dieser Artikel wurde maschinell übersetzt. (Haftungsausschluss)
Ce article a été traduit automatiquement. (Clause de non responsabilité)
Este artículo ha sido traducido automáticamente. (Aviso legal)
この記事は機械翻訳されています.免責事項
이 기사는 기계 번역되었습니다.
Este artigo foi traduzido automaticamente.
这篇文章已经过机器翻译.放弃
Translation failed!
安全的前端配置文件
除了默认前端和默认后端配置文件外,新的默认安全前端配置文件可从版本 12.1 中获得。Qualys SSL Labs 的 A+ 评级(自 2018 年 5 月起)所需的设置已预加载到此配置文件中。之前,您必须在 SSL 前端配置文件或 SSL 虚拟服务器上显式设置 A+ 评级所需的每个参数。现在,您可以将 ns_default_ssl_profile_secure_前端配置文件绑定到您的 SSL 虚拟服务器上,所需的参数将自动设置在 SSL 虚拟服务器上。
注意:
安全前端配置文件不可编辑。
启用默认配置文件时,默认前端配置文件将自动绑定到所有 SSL 虚拟服务器。要获得 A + 评级,您必须显式绑定 ns_default_ssl_profile_secure_frontend 前端配置文件,并将 SHA2/SHA256 服务器证书绑定到 SSL 虚拟服务器。
安全的前端配置文件参数
下面列出了具有默认设置的参数:
SSLv3: DISABLED TLSv1.0: DISABLED TLSv1.1: DISABLED TLSv1.2: ENABLED TLSv1.3: DISABLED
Deny SSL Renegotiation: NONSECURE
HSTS: ENABLED
HSTS IncludeSubDomains: YES
HSTS Max-Age: 15552000
Cipher Name: SECURE Priority :1
安全密码别名
添加新的安全密码别名并绑定到安全前端配置文件。若要列出属于此别名的密码,请在命令提示符下键入:显示密码 SENE
show cipher SECURE
1) Cipher Name: TLS1.2-ECDHE-RSA-AES256-GCM-SHA384 Priority : 1
Description: TLSv1.2 Kx=ECC-DHE Au=RSA Enc=AES-GCM(256) Mac=AEAD HexCode=0xc030
2) Cipher Name: TLS1.2-ECDHE-RSA-AES128-GCM-SHA256 Priority : 2
Description: TLSv1.2 Kx=ECC-DHE Au=RSA Enc=AES-GCM(128) Mac=AEAD HexCode=0xc02f
3) Cipher Name: TLS1.2-ECDHE-ECDSA-AES256-GCM-SHA384 Priority : 3
Description: TLSv1.2 Kx=ECC-DHE Au=ECDSA Enc=AES-GCM(256) Mac=AEAD HexCode=0xc02c
4) Cipher Name: TLS1.2-ECDHE-ECDSA-AES128-GCM-SHA256 Priority : 4
Description: TLSv1.2 Kx=ECC-DHE Au=ECDSA Enc=AES-GCM(128) Mac=AEAD HexCode=0xc02b
Done
配置
执行以下步骤:
- 添加 SSL 类型的负载平衡虚拟服务器。
- 绑定一个 SHA2/SHA256 证书。
- 启用默认配置文件。
- 将安全前端配置文件绑定到 SSL 虚拟服务器。
通过使用 CLI 获取 SSL 虚拟服务器的 A+ 评级
在命令提示符下,键入:
add lb vserver <name> <serviceType> <IPAddress> <port>
bind ssl vserver <vServerName> -certkeyName <string>
set ssl parameter -defaultProfile ENABLED
set ssl vserver <vServerName> -sslProfile ns_default_ssl_profile_secure_frontend
show ssl vserver [<vServerName>]
示例:
add lb vserver ssl-vsvr SSL 192.0.2.240 443
bind ssl vserver ssl-vsvr -certkeyName letrsa
set ssl parameter -defaultProfile ENABLED
Save your configuration before enabling the Default profile. You cannot undo the changes. Are you sure you want to enable the Default profile? [Y/N]y
set ssl vserver ssl-vsvr -sslProfile ns_default_ssl_profile_secure_frontend
sh ssl vserver ssl-vsvr
Advanced SSL configuration for VServer ssl-vsvr:
Profile Name :ns_default_ssl_profile_secure_frontend
1) CertKey Name: letrsa Server Certificate
Done
sh ssl profile ns_default_ssl_profile_secure_frontend
1) Name: ns_default_ssl_profile_secure_frontend (Front-End)
SSLv3: DISABLED TLSv1.0: DISABLED TLSv1.1: DISABLED TLSv1.2: ENABLED TLSv1.3: DISABLED
Client Auth: DISABLED
Use only bound CA certificates: DISABLED
Strict CA checks: NO
Session Reuse: ENABLED Timeout: 120 seconds
DH: DISABLED
DH Private-Key Exponent Size Limit: DISABLED Ephemeral RSA: ENABLED Refresh Count: 0
Deny SSL Renegotiation NONSECURE
Non FIPS Ciphers: DISABLED
Cipher Redirect: DISABLED
SSL Redirect: DISABLED
Send Close-Notify: YES
Strict Sig-Digest Check: DISABLED
Zero RTT Early Data: DISABLED
DHE Key Exchange With PSK: NO
Tickets Per Authentication Context: 1
Push Encryption Trigger: Always
PUSH encryption trigger timeout: 1 ms
SNI: DISABLED
OCSP Stapling: DISABLED
Strict Host Header check for SNI enabled SSL sessions: NO
Push flag: 0x0 (Auto)
SSL quantum size: 8 kB
Encryption trigger timeout 100 mS
Encryption trigger packet count: 45
Subject/Issuer Name Insertion Format: Unicode
SSL Interception: DISABLED
SSL Interception OCSP Check: ENABLED
SSL Interception End to End Renegotiation: ENABLED
SSL Interception Maximum Reuse Sessions per Server: 10
Session Ticket: DISABLED
HSTS: ENABLED
HSTS IncludeSubDomains: YES
HSTS Max-Age: 15552000
ECC Curve: P_256, P_384, P_224, P_521
1) Cipher Name: SECURE Priority :1
Description: Predefined Cipher Alias
1) Vserver Name: v2
Done
通过使用 GUI 获取 SSL 虚拟服务器的 A+ 评级
- 导航到流量管理 > 负载平衡 > 虚拟服务器,然后选择 SSL 虚拟服务器。
- 在高级设置中,单击 SSL 配置文件。
- 选择默认值 ns_default_ssl_profile_secure_frontend。
- 单击确定。
- 单击完成。
分享:
分享:
本文中包含的内容
This Preview product documentation is Citrix Confidential.
You agree to hold this documentation confidential pursuant to the terms of your Citrix Beta/Tech Preview Agreement.
The development, release and timing of any features or functionality described in the Preview documentation remains at our sole discretion and are subject to change without notice or consultation.
The documentation is for informational purposes only and is not a commitment, promise or legal obligation to deliver any material, code or functionality and should not be relied upon in making Citrix product purchase decisions.
If you do not agree, select Do Not Agree to exit.