ADC

Ce article a été traduit automatiquement. (Clause de non responsabilité)

Sécurisez le trafic à charge équilibrée en utilisant SSL

May 5, 2023

Contributeur:

La fonctionnalité de déchargement SSL de NetScaler améliore de manière transparente les performances des sites Web qui effectuent des transactions SSL. En déchargeant les tâches de chiffrement et de déchiffrement SSL gourmandes en CPU du serveur Web local vers l’appliance, le déchargement SSL garantit la livraison sécurisée des applications Web sans pénalisation des performances lorsque le serveur traite les données SSL. Une fois le trafic SSL déchiffré, il peut être traité par tous les services standard. Le protocole SSL fonctionne de manière transparente avec différents types de données HTTP et TCP et fournit un canal sécurisé pour les transactions utilisant ces données.

Pour configurer SSL, vous devez d’abord l’activer. Ensuite, vous configurez les services HTTP ou TCP et un serveur virtuel SSL sur l’appliance, puis liez les services au serveur virtuel. Vous devez également ajouter une paire de clés de certificat et la lier au serveur virtuel SSL. Si vous utilisez des serveurs Outlook Web Access, vous devez créer une action pour activer la prise en charge SSL et une stratégie pour appliquer l’action. Un serveur virtuel SSL intercepte le trafic chiffré entrant et le décrypte à l’aide d’un algorithme négocié. Le serveur virtuel SSL transmet ensuite les données déchiffrées aux autres entités de l’appliance pour un traitement approprié.

Pour plus d’informations sur le déchargement SSL, consultez Déchargement et accélérationSSL.

Séquence de tâches de configuration SSL

Pour configurer SSL, vous devez d’abord l’activer. Vous devez ensuite créer un serveur virtuel SSL et des services HTTP ou TCP sur l’appliance NetScaler. Enfin, vous devez lier un certificat SSL valide et les services configurés au serveur virtuel SSL.

Un serveur virtuel SSL intercepte le trafic chiffré entrant et le décrypte à l’aide d’un algorithme négocié. Le serveur virtuel SSL transmet ensuite les données décryptées aux autres entités de l’appliance NetScaler pour un traitement approprié.

L’organigramme suivant montre la séquence des tâches de configuration d’une configuration de déchargement SSL de base.

Figure 1. Séquence de tâches pour configurer le déchargement SSL

Organigramme SSL

Activer le déchargement SSL

Commencez par activer la fonctionnalité SSL. Vous pouvez configurer des entités SSL sur l’appliance sans activer la fonctionnalité SSL, mais elles ne fonctionneront pas tant que vous n’aurez pas activé SSL.

Activer SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour activer le déchargement SSL et vérifier la configuration :

-  enable ns feature SSL
-  show ns feature
 

Exemple :

> enable ns feature ssl

Done

> show ns feature

Feature Acronym Status

------- ------- ------

1) Web Logging WL ON

2) SurgeProtection SP OFF

3) Load Balancing LB ON . . .

 9) SSL Offloading SSL ON

10) Global Server Load Balancing GSLB ON . .

Done >

Activer SSL à l’aide de l’interface graphique

Procédez comme suit :

Dans le volet de navigation, développez Système, puis cliquez sur Paramètres.
Dans le volet d’informations, sous Modes et fonctionnalités, cliquez sur Modifier les fonctionnalités de base.
Activez la case à cocher Déchargement SSL, puis cliquez sur OK.
Dans la ou les fonctions Activer/Désactiver ?, cliquez sur Oui.

Créer des services HTTP

Un service de la solution matérielle-logicielle représente une application sur un serveur. Une fois configurés, les services sont désactivés jusqu’à ce que la solution matérielle-logicielle puisse atteindre le serveur sur le réseau et en surveiller l’état. Cette rubrique décrit les étapes de création d’un service HTTP.

Remarque : Pour le trafic TCP, effectuez les procédures suivantes, mais créez des services TCP à la place des services HTTP.

Ajouter un service HTTP à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour ajouter un service HTTP et vérifier la configuration :

-  add service <name> (<IP> | <serverName>) <serviceType> <port>
-  show service <name>
 

Exemple :

> add service SVC_HTTP1 10.102.29.18 HTTP 80

 Done

> show service SVC_HTTP1

        SVC_HTTP1 (10.102.29.18:80) - HTTP

        State: UP

        Last state change was at Wed Jul 15 06:13:05 2009

        Time since last state change: 0 days, 00:00:15.350

        Server Name: 10.102.29.18

        Server ID : 0   Monitor Threshold : 0

        Max Conn: 0     Max Req: 0      Max Bandwidth: 0 kbits

        Use Source IP: NO

        Client Keepalive(CKA): NO

        Access Down Service: NO

        TCP Buffering(TCPB): NO

        HTTP Compression(CMP): YES

        Idle timeout: Client: 180 sec   Server: 360 sec

        Client IP: DISABLED

        Cacheable: NO

        SC: OFF

        SP: OFF

        Down state flush: ENABLED

1)      Monitor Name: tcp-default

                State: UP       Weight: 1

                Probes: 4       Failed [Total: 0 Current: 0]

                Last response: Success - TCP syn+ack received.

                Response Time: N/A

 Done

Ajouter un service HTTP à l’aide de l’interface graphique

Procédez comme suit :

Accédez à Gestion du trafic > Déchargement SSL > Services.
Dans le volet de détails, cliquez sur Ajouter.
Dans la boîte de dialogue Créer un service, tapez le nom du service, l’adresse IP et le port (par exemple, SVC_HTTP1, 10.102.29.18 et 80).
Dans la liste Protocole, sélectionnez le type de service (par exemple, HTTP).
Cliquez sur Créer, puis sur Fermer. Le service HTTP que vous avez configuré apparaît dans la page Services.
Vérifiez que les paramètres que vous avez configurés sont correctement configurés en sélectionnant le service et en affichant la section Détails en bas du volet.

Ajouter un serveur virtuel SSL

Dans une configuration de déchargement SSL de base, le serveur virtuel SSL intercepte le trafic chiffré, le déchiffre et envoie les messages en texte clair aux services liés au serveur virtuel. Le déchargement du traitement SSL gourmand en CPU vers l’appliance permet aux serveurs principaux de traiter un plus grand nombre de demandes.

Ajouter un serveur virtuel SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour créer un serveur virtuel SSL et vérifier la configuration :

-  add lb vserver <name> <serviceType> [<IPAddress> <port>]
-  show lb vserver <name>
 

Attention : Pour garantir la sécurité des connexions, vous devez lier un certificat SSL valide au serveur virtuel SSL avant de l’activer.

Exemple :

> add lb vserver vserver-SSL-1 SSL 10.102.29.50 443
  Done

  > show lb vserver vserver-SSL-1

  vserver-SSL-1 (10.102.29.50:443) - SSL Type: ADDRESS

  State: DOWN[Certkey not bound] Last state change was at Tue Jun 16 06:33:08 2009 (+176 ms)

  Time since last state change: 0 days, 00:03:44.120

  Effective State: DOWN Client Idle Timeout: 180 sec

  Down state flush: ENABLED

  Disable Primary Vserver On Down : DISABLED

  No. of Bound Services : 0 (Total) 0 (Active)

  Configured Method: LEASTCONNECTION Mode: IP

  Persistence: NONE

  Vserver IP and Port insertion: OFF

  Push: DISABLED Push VServer: Push Multi Clients: NO Push Label Rule: Done

Ajouter un serveur virtuel SSL à l’aide de l’interface graphique

Procédez comme suit :

Accédez à Gestion du trafic > Déchargement SSL > Serveurs virtuels.
Dans le volet de détails, cliquez sur Ajouter.
Dans la boîte de dialogue Créer un serveur virtuel (déchargement SSL), tapez le nom du serveur virtuel, l’adresse IP et le port.
Dans la liste Protocole, sélectionnez le type de serveur virtuel, par exemple SSL.
Cliquez sur Créer, puis sur Fermer.
Vérifiez que les paramètres que vous avez configurés sont correctement configurés en sélectionnant le serveur virtuel et en affichant la section Détails en bas du volet. Le serveur virtuel est marqué comme étant en panne car aucune paire de clés de certificat et de services n’y sont liés.

Attention : Pour garantir la sécurité des connexions, vous devez lier un certificat SSL valide au serveur virtuel SSL avant de l’activer.

Liez les services au serveur virtuel SSL

Après avoir déchiffré les données entrantes, le serveur virtuel SSL transfère les données aux services que vous avez liés au serveur virtuel.

Le transfert de données entre la solution matérielle-logicielle et les serveurs peut être chiffré ou en texte clair. Si le transfert de données entre l’appliance et les serveurs est chiffré, l’intégralité de la transaction est sécurisée de bout en bout. Pour plus d’informations sur la configuration du système pour une sécurité de bout en bout, consultez Déchargement et accélération SSL.

Lier un service à un serveur virtuel à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour lier un service au serveur virtuel SSL et vérifier la configuration :

-  bind lb vserver <name> <serviceName>
-  show lb vserver <name>
 

Exemple :

> bind lb vserver vserver-SSL-1 SVC_HTTP1

  Done

  > show lb vserver vserver-SSL-1 vserver-SSL-1 (10.102.29.50:443) - SSL Type:

  ADDRESS State: DOWN[Certkey not bound]

  Last state change was at Tue Jun 16 06:33:08 2009 (+174 ms)

  Time since last state change: 0 days, 00:31:53.70

  Effective State: DOWN Client Idle

  Timeout: 180 sec

  Down state flush: ENABLED Disable Primary Vserver On Down :

  DISABLED No. of Bound Services : 1 (Total) 0 (Active)

  Configured Method: LEASTCONNECTION Mode: IP Persistence: NONE Vserver IP and

  Port insertion: OFF Push: DISABLED Push VServer: Push Multi Clients: NO Push Label Rule:

  1) SVC_HTTP1 (10.102.29.18: 80) - HTTP

  State: DOWN Weight: 1

  Done

Liaison d’un service à un serveur virtuel à l’aide de l’interface graphique

Accédez à Gestion du trafic > Déchargement SSL > Serveurs virtuels.
Dans le volet d’informations, sélectionnez un serveur virtuel, puis cliquez sur Ouvrir.
Sous l’onglet Services, dans la colonne Actif, cochez les cases en regard des services que vous souhaitez lier au serveur virtuel sélectionné.
Cliquez sur OK.
Vérifiez que le compteur Nombre de services liés dans la section Détails en bas du volet est incrémenté du nombre de services liés au serveur virtuel.

Ajouter une paire de clés de certificat

Un certificat SSL fait partie intégrante du processus d’échange de clés SSL et de chiffrement/déchiffrement. Le certificat est utilisé lors d’une connexion SSL pour établir l’identité du serveur SSL. Vous pouvez utiliser un certificat SSL valide et existant que vous possédez sur l’appliance NetScaler, ou créer votre propre certificat SSL. L’appliance prend en charge les certificats RSA jusqu’à 4096 bits.

Les certificats ECDSA avec seulement les courbes suivantes sont pris en charge :

prime256v1 (P_256 sur ADC)
secp384r1 (P_384 sur l’ADC)
secp521r1 (P_521 sur ADC ; pris en charge sur VPX uniquement)
secp224r1 (P_224 sur ADC ; pris en charge sur VPX uniquement)

Remarque : Citrix vous recommande d’utiliser un certificat SSL valide qui a été émis par une autorité de certification approuvée. Les certificats non valides et les certificats auto-créés ne sont pas compatibles avec tous les clients SSL.

Avant qu’un certificat puisse être utilisé pour le traitement SSL, vous devez l’associer à la clé correspondante. La paire de clés de certificat est ensuite liée au serveur virtuel et utilisée pour le traitement SSL.

Ajouter une paire de clés de certificat à l’aide de l’interface de ligne de commande

Remarque : Pour plus d’informations sur la création d’une paire de clés de certificat ECDSA, voir Créer une paire de clés de certificat ECDSA.

À l’invite de commandes, tapez les commandes suivantes pour créer une paire de clés de certificat et vérifier la configuration :

-  add ssl certKey <certkeyName> -cert <string> [-key <string>]
-  show sslcertkey <name>
 

Exemple :

> add ssl certKey CertKey-SSL-1 -cert ns-root.cert -key ns-root.key

 Done

> show sslcertkey CertKey-SSL-1

   Name: CertKey-SSL-1 Status: Valid,

   Days to expiration:4811 Version: 3

   Serial Number: 00 Signature Algorithm: md5WithRSAEncryption Issuer: C=US,ST=California,L=San

   Jose,O=Citrix ANG,OU=NS Internal,CN=de fault

   Validity Not Before: Oct 6 06:52:07 2006 GMT Not After : Aug 17 21:26:47 2022 GMT

   Subject: C=US,ST=California,L=San Jose,O=Citrix ANG,OU=NS Internal,CN=d efault Public Key

   Algorithm: rsaEncryption Public Key

   size: 1024

 Done

Ajouter une paire de clés de certificat à l’aide de l’interface graphique

Procédez comme suit :

Accédez à Gestion du trafic > SSL > Certificats.
Dans le volet de détails, cliquez sur Ajouter.
Dans la boîte de dialogue Installer le certificat, dans la zone de texte Nom de la paire de clés de certificat, tapez un nom pour la paire de clés de certificat que vous souhaitez ajouter, par exemple CertKey-SSL-1.
Sous Détails, dans Nom du fichier de certificat, cliquez sur Parcourir (Appliance) pour localiser le certificat. Le certificat et la clé sont tous deux stockés dans le dossier /nsconfig/ssl/ de l’appliance. Pour utiliser un certificat présent sur le système local, sélectionnez Local.
Sélectionnez le certificat que vous souhaitez utiliser, puis cliquez sur Sélectionner.
Dans Nom du fichier de clé privée, cliquez sur Parcourir (Appliance) pour localiser le fichier de clé privée. Pour utiliser une clé privée présente sur le système local, sélectionnez Local.
Sélectionnez la clé que vous souhaitez utiliser, puis cliquez sur Sélectionner. Pour chiffrer la clé utilisée dans la paire de clés de certificat, tapez le mot de passe à utiliser pour le chiffrement dans la zone de texte Mot de passe.
Cliquez sur Installer.
Double-cliquez sur la paire de clés de certificat et, dans la fenêtre Détails du certificat, vérifiez que les paramètres ont été correctement configurés et enregistrés.

Liaison d’une paire de clés de certificat SSL au serveur virtuel

Après avoir associé un certificat SSL à la clé correspondante, liez la paire de clés de certificat au serveur virtuel SSL afin qu’elle puisse être utilisée pour le traitement SSL. Les sessions sécurisées nécessitent l’établissement d’une connexion entre l’ordinateur client et un serveur virtuel SSL sur l’appliance. Le traitement SSL est ensuite effectué sur le trafic entrant sur le serveur virtuel. Par conséquent, avant d’activer le serveur virtuel SSL sur l’appliance, vous devez lier un certificat SSL valide au serveur virtuel SSL.

Liez une paire de clés de certificat SSL à un serveur virtuel à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour lier une paire de clés de certificat SSL à un serveur virtuel et vérifier la configuration :

-  bind ssl vserver <vServerName> -certkeyName <string>
-  show ssl vserver <name>
 

Exemple :

> bind ssl vserver Vserver-SSL-1 -certkeyName CertKey-SSL-1

Done

> show ssl vserver Vserver-SSL-1

     Advanced SSL configuration for VServer Vserver-SSL-1:

     DH: DISABLED

     Ephemeral RSA: ENABLED Refresh Count: 0

     Session Reuse: ENABLED Timeout: 120 seconds

     Cipher Redirect: ENABLED

     SSLv2 Redirect: ENABLED

     ClearText Port: 0

     Client Auth: DISABLED

     SSL Redirect: DISABLED

     Non FIPS Ciphers: DISABLED

     SSLv2: DISABLED SSLv3: ENABLED TLSv1: ENABLED

1) CertKey Name: CertKey-SSL-1 Server Certificate

1) Cipher Name: DEFAULT

   Description: Predefined Cipher Alias

Done

Liez une paire de clés de certificat SSL à un serveur virtuel à l’aide de l’interface graphique

Procédez comme suit :

Accédez à Gestion du trafic > Déchargement SSL > Serveurs virtuels.
Sélectionnez le serveur virtuel auquel vous souhaitez lier la paire de clés de certificat, par exemple, vServer-SSL-1, puis cliquez sur Ouvrir.
Dans la boîte de dialogue Configurer le serveur virtuel (déchargement SSL), sous l’onglet Paramètres SSL, sous Disponible, sélectionnez la paire de clés de certificat que vous souhaitez lier au serveur virtuel. Cliquez ensuite sur Ajouter.
Cliquez sur OK.
Vérifiez que la paire de clés de certificat que vous avez sélectionnée apparaît dans la zone Configuré.

Configurer la prise en charge de Outlook Web

Si vous utilisez des serveurs Outlook Web Access (OWA) sur votre appliance NetScaler, vous devez configurer l’appliance pour insérer un champ d’en-tête spécial, FRONT-END-HTTPS : ON, dans les requêtes HTTP adressées aux serveurs OWA, afin que les serveurs génèrent des liens URL comme au lieu de. https://http://

Remarque : Vous pouvez activer la prise en charge d’OWA pour les serveurs et services virtuels SSL basés sur HTTP uniquement. Vous ne pouvez pas l’appliquer aux serveurs et services virtuels SSL basés sur TCP.

Pour configurer la prise en charge d’OWA, procédez comme suit :

Créez une action SSL pour activer la prise en charge d’OWA.
Créez une stratégie SSL.
Liez la stratégie au serveur virtuel SSL.

Créer une action SSL pour activer la prise en charge d’OWA

Avant de pouvoir activer la prise en charge d’Outlook Web Access (OWA), vous devez créer une action SSL. Les actions SSL sont liées aux stratégies SSL et sont déclenchées lorsque les données entrantes correspondent à la règle spécifiée par la stratégie.

Créer une action SSL pour activer la prise en charge d’OWA à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour créer une action SSL afin d’activer la prise en charge d’OWA et de vérifier la configuration :

-  add ssl action <name> -OWASupport ENABLED
-  show SSL action <name>
 

Exemple :

    > add ssl action Action-SSL-OWA -OWASupport enabled

    Done

    > show SSL action Action-SSL-OWA

    Name: Action-SSL-OWA

    Data Insertion Action: OWA

    Support: ENABLED

    Done

Créer une action SSL pour activer la prise en charge d’OWA à l’aide de l’interface graphique

Procédez comme suit :

Accédez à Gestion du trafic > SSL > Stratégies.
Dans le volet de détails, sous l’onglet Actions, cliquez sur Ajouter.
Dans la boîte de dialogue Créer une action SSL, dans la zone de texte Nom, tapez Action-SSL-OWA.
Sous Outlook Web Access, sélectionnez Activé.
Cliquez sur Créer, puis sur Fermer.
Vérifiez que Action-SSL-OWA apparaît dans la page Actions SSL .

Créer des stratégies SSL

Les stratégies SSL sont créées à l’aide de l’infrastructure de stratégies. Chaque stratégie SSL est liée à une action SSL, et l’action est exécutée lorsque le trafic entrant correspond à la règle configurée dans la stratégie.

Créer une stratégie SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour configurer une stratégie SSL et vérifier la configuration :

-  add ssl policy <name> -rule <expression> -reqAction <string>
-  show ssl policy <name>
 

Exemple :

> add ssl policy-SSL-1 -rule ns_true -reqaction Action-SSL-OWA

Done

> show ssl policy-SSL-1

Name: Policy-SSL-1 Rule: ns_true

Action: Action-SSL-OWA Hits: 0

Policy is bound to following entities

1) PRIORITY : 0

Done

Créer une stratégie SSL à l’aide de l’interface graphique

Procédez comme suit :

Accédez à Gestion du trafic > SSL > Stratégies.
Dans le volet de détails, cliquez sur Ajouter.
Dans la boîte de dialogue Créer une stratégie SSL, dans la zone de texte Nom, tapez le nom de la stratégie SSL (par exemple, Policy-SSL-1).
Dans Demander une action, sélectionnez l’action SSL configurée que vous souhaitez associer à cette stratégie (par exemple, Action-SSL-OWA). L’expression générale ns_true applique la stratégie à tout le trafic d’établissement de liaison SSL réussi. Toutefois, pour filtrer des réponses spécifiques, vous pouvez créer des stratégies avec un niveau de détail supérieur. Pour plus d’informations sur la configuration des expressions de stratégie granulaires, consultez Actions et stratégies SSL.
Dans Expressions nommées, choisissez l’expression générale intégrée ns_true et cliquez sur Ajouter une expression. L’expression ns_true apparaît désormais dans la zone de texte Expression.
Cliquez sur Créer, puis sur Fermer.
Vérifiez que la stratégie est correctement configurée en sélectionnant la stratégie et en affichant la section Détails en bas du volet.

Liez la stratégie SSL au serveur virtuel SSL

Après avoir configuré une stratégie SSL pour Outlook Web Access, liez la stratégie à un serveur virtuel qui interceptera le trafic Outlook entrant. Si les données entrantes correspondent à l’une des règles configurées dans la stratégie SSL, la stratégie est déclenchée et l’action qui lui est associée est exécutée.

Liez une stratégie SSL à un serveur virtuel SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour lier une stratégie SSL à un serveur virtuel SSL et vérifier la configuration :

-  bind ssl vserver <vServerName> -policyName <string>
-  show ssl vserver <name>
 

Exemple :

> bind ssl vserver Vserver-SSL-1 -policyName Policy-SSL-1

 Done

> show ssl vserver Vserver-SSL-1

Advanced SSL configuration for VServer Vserver-SSL-1:

DH: DISABLED

Ephemeral RSA: ENABLED

Refresh Count: 0

Session Reuse: ENABLED

Timeout: 120 seconds

Cipher Redirect: ENABLED

SSLv2 Redirect: ENABLED

ClearText Port: 0

Client Auth: DISABLED

SSL Redirect: DISABLED

Non FIPS Ciphers: DISABLED

SSLv2: DISABLED SSLv3: ENABLED TLSv1: ENABLED

1) CertKey Name: CertKey-SSL-1 Server Certificate

1) Policy Name: Policy-SSL-1 Priority: 0

1) Cipher Name: DEFAULT Description: Predefined Cipher Alias

Done

Liez une stratégie SSL à un serveur virtuel SSL à l’aide de l’interface graphique

Procédez comme suit :

Accédez à Gestion du trafic > Déchargement SSL > Serveurs virtuels.
Dans le volet d’informations, sélectionnez le serveur virtuel (par exemple, vServer-SSL-1), puis cliquez sur Ouvrir.
Dans la boîte de dialogue Configurer le serveur virtuel (déchargement SSL), cliquez sur Insérer une stratégie, puis sélectionnez la stratégie que vous souhaitez lier au serveur virtuel SSL. Vous pouvez également double-cliquer sur le champ Priorité et saisir un nouveau niveau de priorité.
Cliquez sur OK.

La version officielle de ce document est en anglais. Certains contenus de la documentation Cloud Software Group ont été traduits de façon automatique à des fins pratiques uniquement. Cloud Software Group n'exerce aucun contrôle sur le contenu traduit de façon automatique, qui peut contenir des erreurs, des imprécisions ou un langage inapproprié. Aucune garantie, explicite ou implicite, n'est fournie quant à l'exactitude, la fiabilité, la pertinence ou la justesse de toute traduction effectuée depuis l'anglais d'origine vers une autre langue, ou quant à la conformité de votre produit ou service Cloud Software Group à tout contenu traduit de façon automatique, et toute garantie fournie en vertu du contrat de licence de l'utilisateur final ou des conditions d'utilisation des services applicables, ou de tout autre accord avec Cloud Software Group, quant à la conformité du produit ou service à toute documentation ne s'applique pas dans la mesure où cette documentation a été traduite de façon automatique. Cloud Software Group ne pourra être tenu responsable de tout dommage ou problème dû à l'utilisation de contenu traduit de façon automatique.

Cela vous a-t-il été utile ?

May 5, 2023

Contributeur:

Dans cet article

Cela vous a-t-il été utile ?