Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Interception SSL

May 5, 2023
Contributeur: 
C

Une appliance NetScaler configurée pour l’interception SSL agit en tant que proxy. Il peut intercepter et déchiffrer le trafic SSL/TLS, inspecter la demande non chiffrée et permettre à un administrateur d’appliquer les règles de conformité et les contrôles de sécurité. L’interception SSL utilise une stratégie qui spécifie le trafic à intercepter, bloquer ou autoriser. Par exemple, le trafic à destination et en provenance de sites Web financiers, tels que les banques, ne doit pas être intercepté, mais tout autre trafic peut être intercepté et les sites sur liste noire peuvent être identifiés et bloqués. Citrix vous recommande de configurer une stratégie générique pour intercepter le trafic et des stratégies plus spécifiques pour contourner un certain trafic.

Le client et le proxy établissent une liaison HTTPS/TLS. Le proxy établit une autre liaison HTTPS/TLS avec le serveur et reçoit le certificat du serveur. Le proxy vérifie le certificat du serveur pour le compte du client et vérifie également la validité du certificat du serveur à l’aide du protocole OCSP (Online Certificate Status Protocol). Il régénère le certificat du serveur, le signe à l’aide de la clé du certificat CA installé sur l’appliance et le présente au client. Par conséquent, un certificat est utilisé entre le client et l’appliance NetScaler, et un autre entre l’appliance et le serveur principal.

Important

Le certificat d’autorité de certification utilisé pour signer le certificat de serveur doit être préinstallé sur tous les périphériques clients, de sorte que le certificat de serveur régénéré soit approuvé par le client.

Pour le trafic HTTPS intercepté, le serveur proxy déchiffre le trafic sortant, accède à la requête HTTP en texte clair et peut utiliser n’importe quelle application de couche 7 pour traiter le trafic, par exemple en examinant l’URL en texte brut et en autorisant ou en bloquant l’accès en fonction de la politique de l’entreprise et de la réputation de l’URL. Si la décision politique est d’autoriser l’accès au serveur d’origine, le serveur proxy transmet la demande recryptée au service de destination (sur le serveur d’origine). Le proxy déchiffre la réponse à partir du serveur d’origine, accède à la réponse HTTP en texte clair et applique éventuellement toutes les stratégies à la réponse. Le proxy chiffre ensuite à nouveau la réponse et la transmet au client. Si la décision de stratégie consiste à bloquer la demande au serveur d’origine, le proxy peut envoyer une réponse d’erreur, telle que HTTP 403, au client.

Pour effectuer une interception SSL, en plus du serveur proxy configuré précédemment, vous devez configurer les éléments suivants sur l’appliance ADC :

  • Profil SSL
  • Politique SSL
  • Boutique de certificats CA
  • Apprentissage automatique des erreurs SSL et mise en cache

Remarque :

Le trafic HTTP/2 n’est pas intercepté par la fonctionnalité d’interception SSL.

Magasin de certificats d’interception SSL

Un certificat SSL, qui fait partie de toute transaction SSL, est un formulaire de données numérique (X509) qui identifie une entreprise (domaine) ou un individu. Un certificat SSL est émis par une autorité de certification (CA). Une autorité de certification peut être privée ou publique. Les certificats émis par des autorités de certification publiques, telles que Verisign, sont approuvés par les applications qui effectuent des transactions SSL. Ces applications tiennent à jour une liste d’autorités de certification qu’elles ont confiance.

En tant que proxy de transfert, l’appliance ADC assure le chiffrement et le déchiffrement du trafic entre un client et un serveur. Il agit comme un serveur pour le client (utilisateur) et comme un client pour le serveur. Avant qu’une appliance puisse traiter le trafic HTTPS, elle doit valider l’identité d’un serveur afin d’empêcher toute transaction frauduleuse. Par conséquent, en tant que client du serveur d’origine, l’appliance doit vérifier le certificat du serveur d’origine avant de l’accepter. Pour vérifier un certificat de serveur, tous les certificats (par exemple, les certificats racine et intermédiaire) utilisés pour signer et émettre le certificat de serveur doivent être présents sur l’appliance. Un ensemble de certificats d’autorité de certification par défaut est préinstallé sur une appliance. L’appliance peut utiliser ces certificats pour vérifier presque tous les certificats de serveur d’origine courants. Ce jeu par défaut ne peut pas être modifié. Toutefois, si votre déploiement nécessite davantage de certificats CA, vous pouvez créer un ensemble de ces certificats et l’importer dans l’appliance. Un bundle peut également contenir un seul certificat.

Lorsque vous importez un bundle de certificats dans l’appliance, l’appliance télécharge le bundle depuis l’emplacement distant et, après avoir vérifié que le bundle ne contient que des certificats, l’installe sur l’appliance. Vous devez appliquer un ensemble de certificats avant de pouvoir l’utiliser pour valider un certificat de serveur. Vous pouvez également exporter un ensemble de certificats pour modification ou le stocker dans un emplacement hors connexion en tant que sauvegarde.

Importez et appliquez un bundle de certificats CA sur l’appliance à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

import ssl certBundle <name> <src>
apply ssl certBundle <name>
<!--NeedCopy-->

show ssl certBundle
<!--NeedCopy-->

ARGUMENTS :

Nom :

Nom à attribuer au bundle de certificats importé. Doit commencer par un caractère alphanumérique ASCII ou un trait de soulignement (_), et ne doit contenir que des caractères alphanumériques ASCII, un trait de soulignement, un hachage (#), un point (.), deux points ( :), à (@), égal à (=) et un trait d’union (-). L’exigence suivante s’applique uniquement à l’interface de ligne de commande :

Si le nom comporte un ou plusieurs espaces, mettez-le entre guillemets simples ou doubles (par exemple, « mon fichier » ou « mon fichier »).

Longueur maximale : 31

src :

URL spécifiant le protocole, l’hôte et le chemin, y compris le nom du fichier, vers le bundle de certificats à importer ou à exporter. Par exemple, http://www.example.com/cert_bundle_file.

REMARQUE : L’importation échoue si l’objet à importer se trouve sur un serveur HTTPS nécessitant une authentification par certificat client pour y accéder.

Longueur maximale : 2047

Exemple :

import ssl certbundle swg-certbundle http://www.example.com/cert_bundle
apply ssl certBundle swg-certbundle
<!--NeedCopy-->

show ssl certbundle

            Name : swg-certbundle(Inuse)

            URL : http://www.example.com/cert_bundle

    Done
<!--NeedCopy-->

Importez et appliquez un bundle de certificats CA sur l’appliance à l’aide de l’interface graphique

  1. Accédez à Sécurité > Proxy transfert SSL > Démarrage > Offres groupées de certificats.
  2. Procédez comme suit :
    • Sélectionnez un ensemble de certificats dans la liste.
    • Pour ajouter un lot de certificats, cliquez sur « + » et spécifiez un nom et une URL source. Cliquez sur OK.
  3. Cliquez sur OK.

Supprimer un bundle de certificats CA de l’appliance à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

remove certBundle <cert bundle name>
<!--NeedCopy-->

Exemple :

remove certBundle mytest-cacert
<!--NeedCopy-->

Exportez un bundle de certificats CA depuis l’appliance à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

export certBundle <cert bundle name> <Path to export>
<!--NeedCopy-->

ARGUMENTS :

Nom :

Nom à attribuer au bundle de certificats importé. Doit commencer par un caractère alphanumérique ASCII ou un trait de soulignement (_), et ne doit contenir que des caractères alphanumériques ASCII, un trait de soulignement, un hachage (#), un point (.), deux points ( :), à (@), égal à (=) et un trait d’union (-). L’exigence suivante s’applique uniquement à l’interface de ligne de commande :

Si le nom comporte un ou plusieurs espaces, mettez-le entre guillemets simples ou doubles (par exemple, « mon fichier » ou « mon fichier »).

Longueur maximale : 31

src :

URL spécifiant le protocole, l’hôte et le chemin, y compris le nom du fichier, vers le bundle de certificats à importer ou à exporter. Par exemple, http://www.example.com/cert_bundle_file.

REMARQUE : L’importation échoue si l’objet à importer se trouve sur un serveur HTTPS nécessitant une authentification par certificat client pour y accéder.

Longueur maximale : 2047

Exemple :

export certBundle mytest-cacert http://192.0.2.20/
<!--NeedCopy-->

Importer, appliquer et vérifier un ensemble de certificats CA depuis le magasin de certificats CA de Mozilla

À l’invite de commande, tapez :

> import certbundle mozilla_public_ca https://curl.haxx.se/ca/cacert.pem
Done
<!--NeedCopy-->

Pour appliquer le bundle, tapez :

> apply certbundle mozilla_public_ca
Done
<!--NeedCopy-->

Pour vérifier l’ensemble de certificats en cours d’utilisation, tapez :

> sh certbundle | grep mozilla
                Name : mozilla_public_ca (Inuse)
<!--NeedCopy-->

Limitations

  • Les lots de certificats ne sont pas pris en charge dans une configuration de cluster ou sur une appliance partitionnée.
  • Le protocole TLSv1.3 n’est pas pris en charge avec le proxy SSL Forward.

Infrastructure de politique SSL pour l’interception SSL

Une stratégie agit comme un filtre sur le trafic entrant. Les politiques de l’appliance ADC aident à définir la manière de gérer les connexions et les demandes par proxy. Le traitement est basé sur les actions configurées pour cette stratégie. Autrement dit, les données des demandes de connexion sont comparées à une règle spécifiée dans la stratégie et l’action est appliquée aux connexions qui correspondent à la règle (expression). Après avoir défini une action à attribuer à la politique et créé la politique, vous devez la lier à un serveur proxy afin qu’elle s’applique au trafic passant par ce serveur proxy.

Une stratégie SSL pour l’interception SSL évalue le trafic entrant et applique une action prédéfinie aux requêtes qui correspondent à une règle (expression). La décision d’intercepter, de contourner ou de réinitialiser une connexion est prise en fonction de la politique SSL définie. Vous pouvez configurer l’une des trois actions d’une stratégie : Intercept, BYPASS ou RESET. Vous devez spécifier une action lorsque vous créez une politique. Pour mettre en œuvre une politique, vous devez la lier à un serveur proxy sur l’appliance. Pour spécifier qu’une politique est destinée à l’interception SSL, vous devez spécifier le type (point de liaison) comme INTERCEPT_REQ lorsque vous liez la politique à un serveur proxy. Lorsque vous dissociez une politique, vous devez spécifier le type INTERCEPT_REQ.

Remarque :

Le serveur proxy ne peut pas prendre la décision d’intercepter à moins que vous ne spécifiiez une politique.

L’interception du trafic peut être basée sur n’importe quel attribut de poignée de main SSL. Le domaine le plus couramment utilisé est le domaine SSL. Le domaine SSL est généralement indiqué par les attributs de l’établissement de connexion SSL. Il peut s’agir de la valeur de l’indicateur de nom de serveur extraite du message Hello client SSL, le cas échéant, ou de la valeur de nom alternatif de serveur (SAN) extraite du certificat du serveur d’origine. La stratégie d’interception SSL présente un attribut spécial, DETECTED_DOMAIN. Cet attribut permet aux clients de créer plus facilement des stratégies d’interception basées sur le domaine SSL à partir du certificat du serveur d’origine. Le client peut faire correspondre le nom de domaine avec une chaîne, une liste d’URL (jeu d’URL oupatset) ou une catégorie d’URL dérivée du domaine.

Créer une stratégie SSL à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

add ssl policy <name> -rule <expression> -action <string>
<!--NeedCopy-->

Exemples :

Les exemples suivants concernent les politiques comportant des expressions qui utilisent l’ detected_domain attribut pour vérifier la présence d’un nom de domaine.

Ne pas intercepter le trafic vers une institution financière, telle que XYZBANK

add ssl policy pol1 -rule client.ssl.detected_domain.contains("XYZBANK") -action BYPASS
<!--NeedCopy-->

Ne pas autoriser un utilisateur à se connecter à YouTube depuis le réseau de l’entreprise

add ssl policy pol2 -rule client.ssl.client.ssl.detected_domain.url_categorize(0,0).category.eq ("YouTube") -action RESET
<!--NeedCopy-->

Intercepter tout le trafic utilisateur

add ssl policy pol3 –rule true –action INTERCEPT
<!--NeedCopy-->

Si le client ne souhaite pas utiliser le domaine detected_domain, il peut utiliser l’un des attributs de handshake SSL pour extraire et déduire le domaine.

Par exemple, aucun nom de domaine ne figure dans l’extension SNI du message d’accueil du client. Le nom de domaine doit être extrait du certificat du serveur d’origine. Les exemples suivants concernent les stratégies avec des expressions qui vérifient la présence d’un nom de domaine dans le nom de sujet du certificat du serveur d’origine.

Intercepter tout le trafic utilisateur vers n’importe quel domaine Yahoo

add ssl policy pol4 -rule client.ssl.origin_server_cert.subject.contains("yahoo") –action INTERCEPT
<!--NeedCopy-->

Interceptez tout le trafic utilisateur pour la catégorie « Shopping/Retail »

add ssl policy pol_url_category -rule client.ssl.origin_server_cert.subject.URL_CATEGORIZE(0,0).CATEGORY.eq("Shopping/Retail") -action INTERCEPT
<!--NeedCopy-->

Intercepter tout le trafic utilisateur vers une URL non classée

add ssl policy pol_url_category -rule client.ssl.origin_server_cert.subject.url_categorize(0,0).category.eq("Uncategorized") -action INTERCEPT
<!--NeedCopy-->

Les exemples suivants concernent les stratégies qui correspondent au domaine par rapport à une entrée d’un jeu d’URL.

Interceptez tout le trafic utilisateur si le nom de domaine dans SNI correspond à une entrée de l’ensemble d’URL « top100 »

add ssl policy pol_url_set  -rule client.ssl.client_hello.SNI.URLSET_MATCHES_ANY("top100") -action INTERCEPT
<!--NeedCopy-->

Interceptez tout le trafic utilisateur du nom de domaine si le certificat du serveur d’origine correspond à une entrée de l’ensemble d’URL « top100 »

add ssl policy pol_url_set  -rule client.ssl.origin_server_cert.subject.URLSET_MATCHES_ANY("top100") -action INTERCEPT
<!--NeedCopy-->

Créer une stratégie SSL sur un serveur proxy à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > SSL > Stratégies.
  2. Dans l’onglet Politiques SSL, cliquez sur Ajouter et spécifiez les paramètres suivants :
    • Nom de la stratégie
    • Action de politique : sélectionnez l’interception, le contournement ou la réinitialisation.
    • Expression
  3. Cliquez sur Create.

Liez une politique SSL à un serveur proxy à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

bind ssl vserver <vServerName> -policyName <string> -priority <positive_integer> -type  INTERCEPT_REQ
<!--NeedCopy-->

Exemple :

bind ssl vserver <name> -policyName pol1 -priority 10 -type INTERCEPT_REQ
<!--NeedCopy-->

Liez une politique SSL à un serveur proxy à l’aide de l’interface graphique

  1. Accédez à Sécurité > Proxy SSL Forward > Serveurs virtuels proxy.
  2. Sélectionnez un serveur virtuel et cliquez sur Modifier.
  3. Dans Paramètres avancés, cliquez sur Stratégies SSL.
  4. Cliquez à l’intérieur de la zone Politique SSL .
  5. Dans Sélectionner une stratégie, sélectionnez une politique à lier.
  6. Dans Type, sélectionnez INTERCEPT_REQ.
  7. Cliquez sur Lier, puis sur OK .

Dissocier une stratégie SSL à un serveur proxy à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

unbind ssl vserver <vServerName> -policyName <string> -type INTERCEPT_REQ
<!--NeedCopy-->

Expressions SSL utilisées dans les politiques SSL

Expression Description
CLIENT.SSL.CLIENT_HELLO.SNI.* Renvoie l’extension SNI sous forme de chaîne. Évaluez la chaîne pour voir si elle contient le texte spécifié. Exemple : client.ssl.client_hello.sni.contains ()“xyz.com”
CLIENT.SSL.ORIGIN_SERVER_CERT.* Renvoie un certificat, reçu d’un serveur principal, sous forme de chaîne. Évaluez la chaîne pour voir si elle contient le texte spécifié. Exemple : client.ssl.origin_server_cert.subject.contains ()“xyz.com”
CLIENT.SSL.DETECTED_DOMAIN.* Renvoie un domaine, soit à partir de l’extension SNI, soit à partir du certificat du serveur d’origine, sous forme de chaîne. Évaluez la chaîne pour voir si elle contient le texte spécifié. Exemple : client.ssl.detected_domaine.contains (“xyz.com”)

Erreur SSL | AutoLearning

L’appliance ajoute un domaine à la liste de contournement SSL si le mode d’apprentissage est activé. Le mode d’apprentissage est basé sur le message d’alerte SSL reçu d’un client ou d’un serveur d’origine. En d’autres termes, l’apprentissage dépend du client ou du serveur qui envoie un message d’alerte. Il n’y a pas d’apprentissage si un message d’alerte n’est pas envoyé. L’appliance apprend si l’une des conditions suivantes est remplie :

  1. Une demande de certificat client est reçue du serveur.

  2. L’une des alertes suivantes est reçue dans le cadre de la poignée de main :

    • BAD_CERTIFICATE
    • CERTIFICAT_NON PRIS EN CHARGE
    • CERTIFICATE_RÉVOQUÉ
    • CERTIFICATE_EXPIRÉ
    • CERTIFICAT_INCONNU
    • UNKNOWN_CA (Si un client utilise le pinning, il envoie ce message d’alerte s’il reçoit un certificat de serveur.)
    • HANDSHAKE_FAILURE

Pour activer l’apprentissage, vous devez activer le cache d’erreurs et spécifier la mémoire réservée à l’apprentissage.

Permettre l’apprentissage à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > SSL.

  2. Dans Paramètres, cliquez sur Modifier les paramètres SSL avancés.

  3. Dans Interception SSL, sélectionnez SSL Interception Error Cache.

  4. Dans SSL Interception Max Error Cache Memory, spécifiez la mémoire (en octets) à réserver.

    Cache d'erreurs

  5. Cliquez sur OK.

Permettre l’apprentissage à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez :

set ssl parameter -ssliErrorCache ( ENABLED | DISABLED ) -ssliMaxErrorCacheMem <positive_integer>
<!--NeedCopy-->

Arguments :

Cache d’erreurs SSL :

Activez ou désactivez l’apprentissage dynamique et mettez en cache les informations apprises pour prendre ultérieurement la décision d’intercepter ou de contourner les demandes. Lorsqu’elle est activée, l’appliance effectue une recherche dans le cache pour décider s’il convient de contourner la demande.

Valeurs possibles : ENABLED, DISABLED

Valeur par défaut : DISABLED

Cachemem d’erreur SSLIMaxErrorCachemem :

Spécifiez la mémoire maximale, en octets, qui peut être utilisée pour mettre en cache les données apprises. Cette mémoire est utilisée comme cache LRU afin que les anciennes entrées soient remplacées par de nouvelles entrées une fois la limite de mémoire définie atteinte. La valeur 0 détermine automatiquement la limite.

Valeur par défaut : 0

Valeur minimale : 0

Valeur maximale : 4294967294

Profil SSL

Un profil SSL est un ensemble de paramètres SSL, tels que des chiffrements et des protocoles. Un profil est utile si vous avez des paramètres communs à différents serveurs. Au lieu de spécifier les mêmes paramètres pour chaque serveur, vous pouvez créer un profil, spécifier les paramètres du profil, puis lier le profil à différents serveurs. Si aucun profil SSL frontal personnalisé n’est créé, le profil frontal par défaut est lié aux entités côté client. Ce profil vous permet de configurer les paramètres de gestion des connexions côté client.

Pour l’interception SSL, vous devez créer un profil SSL et activer l’interception SSL dans le profil. Un groupe de chiffrement par défaut est lié à ce profil, mais vous pouvez configurer d’autres chiffrements en fonction de votre déploiement. Liez un certificat CA d’interception SSL à ce profil, puis liez le profil à un serveur proxy. Pour l’interception SSL, les paramètres essentiels d’un profil sont ceux utilisés pour les actions suivantes :

  • Vérifiez l’état OCSP du certificat du serveur d’origine.
  • Déclenchez la renégociation du client si le serveur d’origine demande une renégociation.
  • Vérifiez le certificat du serveur d’origine avant de réutiliser la session SSL frontale.

Utilisez le profil principal par défaut lorsque vous communiquez avec les serveurs d’origine. Définissez tous les paramètres côté serveur, tels que les suites de chiffrement, dans le profil principal par défaut. Un profil principal personnalisé n’est pas pris en charge.

Pour obtenir des exemples des paramètres SSL les plus couramment utilisés, consultez la section « Exemple de profil » à la fin de cette section.

La prise en charge du chiffre/protocole diffère sur le réseau interne et externe. Dans les tableaux suivants, la connexion entre les utilisateurs et une appliance ADC est le réseau interne. Le réseau externe se trouve entre l’appliance et Internet.

Image du profil SSL

Tableau 1 : Matrice de prise en charge du chiffre/protocole pour le réseau interne

Reportez-vous au Tableau 1 : Support relatif au serveur virtuel/au service frontend ou au service interne dans Ciphersdisponibles sur les appliances NetScaler.

Tableau 2 : Matrice de prise en charge du chiffre/protocole pour le réseau externe

Reportez-vous au Tableau 2 : Support relatif aux services principaux dans Ciphers disponibles surles appliances NetScaler.

Ajouter un profil SSL et activer l’interception SSL à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

add ssl profile <name> -sslinterception ENABLED -ssliReneg ( ENABLED | DISABLED ) -ssliOCSPCheck ( ENABLED | DISABLED ) -ssliMaxSessPerServer <positive_integer>

Arguments :

Interception SSL :

Activez ou désactivez l’interception des sessions SSL.

Valeurs possibles : ENABLED, DISABLED

Valeur par défaut : DISABLED

SSL LireNeg :

Activez ou désactivez le déclenchement de la renégociation du client lorsqu’une demande de renégociation est reçue du serveur d’origine.

Valeurs possibles : ENABLED, DISABLED

Valeur par défaut : ENABLED

Vérification SSLIOCSPCheck :

Activez ou désactivez la vérification OCSP pour un certificat de serveur d’origine.

Valeurs possibles : ENABLED, DISABLED

Valeur par défaut : ENABLED

SSL Limax SESSpar serveur :

Nombre maximum de sessions SSL à mettre en cache par serveur d’origine dynamique. Une session SSL unique est créée pour chaque extension SNI reçue du client dans un message d’accueil du client. La session correspondante est utilisée pour la réutilisation de la session serveur.

Valeur par défaut : 10

Valeur minimale : 1

Valeur maximale : 1000

Exemple :

add ssl profile swg_ssl_profile  -sslinterception ENABLED

Done

sh ssl profile swg_ssl_profile

1)    Name: swg_ssl_profile (Front-End)

                SSLv3: DISABLED               TLSv1.0: ENABLED  TLSv1.1: ENABLED  TLSv1.2: ENABLED

                Client Auth: DISABLED

                Use only bound CA certificates: DISABLED

                Strict CA checks:                               NO

                Session Reuse: ENABLED                              Timeout: 120 seconds

                DH: DISABLED

                DH Private-Key Exponent Size Limit: DISABLED   Ephemeral RSA: ENABLED                            Refresh Count: 0

                Deny SSL Renegotiation                                ALL

                Non FIPS Ciphers: DISABLED

                Cipher Redirect: DISABLED

                SSL Redirect: DISABLED

                Send Close-Notify: YES

                Strict Sig-Digest Check: DISABLED

                Push Encryption Trigger: Always

                PUSH encryption trigger timeout:             1 ms

                SNI: DISABLED

                OCSP Stapling: DISABLED

                Strict Host Header check for SNI enabled SSL sessions:                   NO

                Push flag:            0x0 (Auto)

                SSL quantum size:                            8 kB

                Encryption trigger timeout           100 mS

                Encryption trigger packet count:               45

                Subject/Issuer Name Insertion Format: Unicode

                SSL Interception: ENABLED

                SSL Interception OCSP Check: ENABLED

                SSL Interception End to End Renegotiation: ENABLED

                SSL Interception Server Cert Verification for Client Reuse: ENABLED

                SSL Interception Maximum Reuse Sessions per Server:  10

                Session Ticket: DISABLED              Session Ticket Lifetime: 300 (secs)

                HSTS: DISABLED

                HSTS IncludeSubDomains: NO

                HSTS Max-Age: 0

                ECC Curve: P_256, P_384, P_224, P_521

1)            Cipher Name: DEFAULT Priority :1

                Description: Predefined Cipher Alias

Done
<!--NeedCopy-->

Liez un certificat CA d’interception SSL à un profil SSL à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

bind ssl profile <name> -ssliCACertkey <ssli-ca-cert>

Exemple :

bind ssl profile swg_ssl_profile -ssliCACertkey swg_ca_cert

Done

sh ssl profile swg_ssl_profile

1)            Name: swg_ssl_profile (Front-End)

                SSLv3: DISABLED               TLSv1.0: ENABLED  TLSv1.1: ENABLED  TLSv1.2: ENABLED

                Client Auth: DISABLED

                Use only bound CA certificates: DISABLED

                Strict CA checks:                               NO

                Session Reuse: ENABLED                              Timeout: 120 seconds

                DH: DISABLED

                DH Private-Key Exponent Size Limit: DISABLED   Ephemeral RSA: ENABLED                            Refresh Count: 0

                Deny SSL Renegotiation                                ALL

                Non FIPS Ciphers: DISABLED

                Cipher Redirect: DISABLED

                SSL Redirect: DISABLED

                Send Close-Notify: YES

                Strict Sig-Digest Check: DISABLED

                Push Encryption Trigger: Always

                PUSH encryption trigger timeout:             1 ms

                SNI: DISABLED

                OCSP Stapling: DISABLED

                Strict Host Header check for SNI enabled SSL sessions:                   NO

                Push flag:            0x0 (Auto)

                SSL quantum size:                            8 kB

                Encryption trigger timeout           100 mS

                Encryption trigger packet count:               45

                Subject/Issuer Name Insertion Format: Unicode

                SSL Interception: ENABLED

                SSL Interception OCSP Check: ENABLED

                SSL Interception End to End Renegotiation: ENABLED

                SSL Interception Server Cert Verification for Client Reuse: ENABLED

                SSL Interception Maximum Reuse Sessions per Server:  10

                Session Ticket: DISABLED              Session Ticket Lifetime: 300 (secs)

                HSTS: DISABLED

                HSTS IncludeSubDomains: NO

                HSTS Max-Age: 0

                ECC Curve: P_256, P_384, P_224, P_521

1)            Cipher Name: DEFAULT Priority :1

                Description: Predefined Cipher Alias

1)            SSL Interception CA CertKey Name: swg_ca_cert

Done
<!--NeedCopy-->

Liez un certificat CA d’interception SSL à un profil SSL à l’aide de l’interface graphique

  1. Accédez à Système > Profils > Profil SSL.

  2. Cliquez sur Ajouter.

  3. Spécifiez un nom pour le profil.

  4. Activez l’ interception des sessions SSL.

  5. Cliquez sur OK.

  6. Dans Paramètres avancés, cliquez sur Clé de certificat.

  7. Spécifiez une clé de certificat CA d’interception SSL à lier au profil.

  8. Cliquez sur Sélectionner, puis sur Lier.

  9. Configurez éventuellement des chiffrements en fonction de votre déploiement.

    • Cliquez sur l’icône Modifier, puis sur Ajouter.
    • Sélectionnez un ou plusieurs groupes de chiffrement, puis cliquez sur la flèche droite.
    • Cliquez sur OK.

  10. Cliquez sur Terminé.

Lier un profil SSL à un serveur proxy à l’aide de l’interface graphique

  1. Accédez à Sécurité >Proxy SSL Forward > Serveurs virtuels proxy, puis ajoutez un serveur ou sélectionnez un serveur à modifier.
  2. Dans Profile SSL, cliquez sur l’icône Modifier.
  3. Dans la liste des profils SSL, sélectionnez le profil SSL que vous avez créé précédemment.
  4. Cliquez sur OK.
  5. Cliquez sur Terminé.

Exemple de profil :

Name: swg_ssl_profile (Front-End)

                SSLv3: DISABLED               TLSv1.0: ENABLED  TLSv1.1: ENABLED  TLSv1.2: ENABLED

                Client Auth: DISABLED

                Use only bound CA certificates: DISABLED

                Strict CA checks:                               NO

                Session Reuse: ENABLED                              Timeout: 120 seconds

                DH: DISABLED

                DH Private-Key Exponent Size Limit: DISABLED   Ephemeral RSA: ENABLED                            Refresh Count: 0

                Deny SSL Renegotiation                                ALL

                Non FIPS Ciphers: DISABLED

                Cipher Redirect: DISABLED

                SSL Redirect: DISABLED

                Send Close-Notify: YES

                Strict Sig-Digest Check: DISABLED

                Push Encryption Trigger: Always

                PUSH encryption trigger timeout:             1 ms

                SNI: DISABLED

                OCSP Stapling: DISABLED

                Strict Host Header check for SNI enabled SSL sessions:                   NO

                Push flag:            0x0 (Auto)

                SSL quantum size:                            8 kB

                Encryption trigger timeout           100 mS

                Encryption trigger packet count:               45

                Subject/Issuer Name Insertion Format: Unicode

                SSL Interception: ENABLED

                SSL Interception OCSP Check: ENABLED

                SSL Interception End to End Renegotiation: ENABLED

                SSL Interception Maximum Reuse Sessions per Server:  10

                Session Ticket: DISABLED              Session Ticket Lifetime: 300 (secs)

                HSTS: DISABLED

                HSTS IncludeSubDomains: NO

                HSTS Max-Age: 0

                ECC Curve: P_256, P_384, P_224, P_521

1)            Cipher Name: DEFAULT Priority :1

                Description: Predefined Cipher Alias

1)            SSL Interception CA CertKey Name: swg_ca_cert
<!--NeedCopy-->
Interception SSL
May 5, 2023
Contributeur: 
C
May 5, 2023
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.