SSLポリシーのバインディング
SSL ポリシーは、グローバルにバインドすることも、SSL タイプの仮想サーバーのみにバインドすることもできます。グローバルにバインドされたポリシーは、サービス、仮想サーバー、またはその他のNetScalerバインドポイントにバインドされたすべてのポリシーが評価された後に評価されます。受信データが SSL ポリシーで設定されたルールのいずれかに一致すると、ポリシーがトリガーされ、それに関連するアクションが実行されます。
SSL ポリシーを仮想サーバーにバインドする場合、次のバインドポイントのいずれかを選択する必要があります。
-
REQUEST (デフォルトのバインドポイント)。ポリシー評価は SSL ハンドシェイクの完了後に HTTP レイヤーで行われます。)
-
INTERCEPT_REQ_REQ（このオプションは、Citrix Secure Web Gateway のセットアップに適用されます。詳細については、「 SSL インターセプション用の SSL ポリシーインフラストラクチャ」を参照してください。
-
CLIENTHELLO.REQ
同様に、仮想サーバーからポリシーをバインド解除する場合は、バインドポイントを指定する必要があります。
CLIENTHELLO_REQ をバインドポイントとして指定すると、クライアントの hello メッセージを受信したときにポリシーが評価されます。実行できるアクションは、リセット、転送、 caCertGrpNameおよびです。リセットアクションは接続を終了します。転送アクションは、要求を負荷分散仮想サーバーに転送して処理します。caCertGrpName アクションは、クライアント認証のために SNI に基づいて CA を選択的に選択します。SSL アクションの詳細については、 SSL 組み込みアクションとユーザー定義アクションを参照してください。
注： アクションcaCertGrpNameは、TLS1.3プロトコルではサポートされていません。
CLI を使用して SSL ポリシーをグローバルにバインドする
コマンドプロンプトで次のコマンドを入力してグローバル SSL ポリシーをバインドし、構成を確認します。
bind ssl global - policyName <string> [- priority <positive_integer>]
show ssl global
<!--NeedCopy-->
例:
bind ssl global -policyName Policy-SSL-2 -priority 90
Done
sh ssl global
1) Name: Policy-SSL-2 Priority: 90
2) Name: Policy-SSL-1 Priority: 100
Done
<!--NeedCopy-->
GUI を使用して SSL ポリシーをグローバルにバインドする
- Traffic Management > SSL > Policiesに移動します。
- 詳細ウィンドウで、[ グローバルバインド] をクリックします。
- 「SSL ポリシーをグローバルにバインド/バインド解除」ダイアログボックスで、「ポリシーを挿入」をクリックします。
- 「 ポリシー名 」リストで、ポリシーを選択します。
- オプションとして、エントリをポリシーバンクの新しい位置にドラッグして、優先度レベルを自動的に更新することもできます。
- ［OK］ をクリックします。ステータスバーに、ポリシーが正常にバインドされたことを示すメッセージが表示されます。
CLI を使用して SSL ポリシーを仮想サーバーにバインドまたはバインド解除する
コマンドプロンプトで次のコマンドを入力して SSL ポリシーを仮想サーバーにバインドし、構成を確認します。
bind ssl vserver <vServerName> -policyName <string> -priority <positive_integer> -type <type>
unbind ssl vserver <vServerName> -policyName <string> -priority <positive_integer> -type <type>
<!--NeedCopy-->
例:
bind ssl vserver v1 -policyName pol1 -priority 1 -type CLIENTHELLO_REQ
<!--NeedCopy-->
unbind ssl vserver v1 -policyName pol1 -priority 1 -type CLIENTHELLO_REQ
<!--NeedCopy-->
show ssl vserver vs-server
Advanced SSL configuration for VServer vs-server:
DH: DISABLED
Ephemeral RSA: ENABLED Refresh Count: 1000
Session Reuse: ENABLED Timeout: 120 seconds
Cipher Redirect: DISABLED
SSLv2 Redirect: DISABLED
ClearText Port: 80
Client Auth: DISABLED
SSL Redirect: ENABLED
SSL-REDIRECT Port Rewrite: ENABLED
Non FIPS Ciphers: DISABLED
SSLv2: DISABLED SSLv3: ENABLED TLSv1: ENABLED
1) Policy Name: ssl-policy-1 Priority: 10
1) Cipher Name: DEFAULT
Description: Predefined Cipher Alias
Done
<!--NeedCopy-->
GUI を使用して SSL ポリシーを仮想サーバーにバインドする
- [ トラフィック管理 ] > [ 負荷分散 ] > [ 仮想サーバー] に移動し、SSL 仮想サーバーを開きます。
- [ 詳細設定]で [ SSL ポリシー] を選択します。SSL ポリシーセクションをクリックして 、ポリシーを仮想サーバーにバインドします。
- ポリシーバインディングページで 、既存のポリシーを選択するか、新しいポリシーを追加します。
- ポリシーの優先度とタイプ (バインドポイント) を指定します。
- 「 バインド」を選択します。
- ［完了］ を選択します。