Citrix SD-WAN WANOP

安全なピアリング

April 19, 2021

寄稿者:

アプライアンスでセキュアピアリングが有効になっている場合、セキュアピア関係がないパートナーとの接続は暗号化または圧縮されませんが、TCPフロー制御アクセラレーションは引き続き使用できます。保護されたパートナーからの圧縮履歴に保存されたデータを保護されていないパートナーと共有できないようにするために、圧縮は無効になっています。

接続の一方の端にあるアプライアンスは、もう一方のアプライアンスでセキュアピアリングが有効になっていることを検出すると、SSLシグナリングトンネルを開こうとします。2つのアプライアンスがこのトンネルを介して相互に正常に認証された場合、それらは安全なピアリング関係にあります。2つのアプライアンス間のすべての高速接続は暗号化され、圧縮が有効になります。

注

セキュアピアリングが有効になっているアプライアンスは、セキュアでないパートナーへの接続を圧縮しません。同じアプライアンスをセキュアなパートナーとセキュアでないパートナーが混在して正常に使用することは困難です。加速ネットワークを設計するときは、この点に注意してください。

セキュリティパラメータにアクセスするには、キーストアのパスワードが必要です。このキーストアのパスワードは、セキュリティ管理を他のタスクから分離できるように、管理者のパスワードとは異なります。キーストアのパスワードがリセットされると、既存の暗号化されたデータと秘密鍵はすべて失われます。

アプライアンスが盗まれた場合でもデータを保護するには、アプライアンスを再起動するたびにキーストアのパスワードを再入力する必要があります。これが行われるまで、セキュアピアリングと圧縮は無効になります。

セキュリティキーと証明書を生成する

Citrix SD-WAN WANOP製品は、SSLシグナリングトンネルに必要なキーと証明書なしで出荷されます。自分で生成する必要があります。資格情報を生成するための通常のプロセスを介して、または http://www.openssl.orgの「openssl」パッケージを使用して、キーと証明書を生成できます。

テストの目的で、秘密鍵（これも生成します）に基づいて自己署名X509証明書を生成して使用できます。本番環境では、信頼できる認証局を参照する証明書を使用します。次の例では、PCのコマンドラインからopensslを呼び出して、秘密鍵（ my.key）と自己署名証明書（ my.crt）を生成します。

pre codeblock
# Generate a 2048-bit private key
openssl genrsa -out my.key 2048
# Now create a Certificate Signing Request
openssl req -new -key my.key -out my.csr
# Finally, create a self-signed certificate with a 365-day expiration
openssl x509 -req -days 365 -in my.csr -signkey my.key -out my.crt
<!--NeedCopy-->

本番環境で使用する場合は、組織のセキュリティポリシーを参照してください。