安全的前端配置文件
除了默认前端和默认后端配置文件外，新的默认安全前端配置文件可从版本 12.1 中获得。Qualys SSL Labs 的 A+ 评级（自 2018 年 5 月起）所需的设置已预加载到此配置文件中。之前，您必须在 SSL 前端配置文件或 SSL 虚拟服务器上显式设置 A+ 评级所需的每个参数。现在，您可以将 ns_default_ssl_profile_secure_前端配置文件绑定到您的 SSL 虚拟服务器上，所需的参数将自动设置在 SSL 虚拟服务器上。
注意 ： 安全前端配置文件不可编辑。
启用默认配置文件时，默认前端配置文件将自动绑定到所有 SSL 虚拟服务器。要获得 A + 评级，您必须显式绑定 ns_default_ssl_profile_secure_frontend 前端配置文件，并将 SHA2/SHA256 服务器证书绑定到 SSL 虚拟服务器。
安全的前端配置文件参数
下面列出了具有默认设置的参数：
SSLv3: DISABLED TLSv1.0: DISABLED TLSv1.1: DISABLED TLSv1.2: ENABLED TLSv1.3: DISABLED
Deny SSL Renegotiation: NONSECURE
HSTS: ENABLED
HSTS IncludeSubDomains: YES
HSTS Max-Age: 15552000
Cipher Name: SECURE Priority :1
<!--NeedCopy-->
安全密码别名
添加新的安全密码别名并绑定到安全前端配置文件。若要列出属于此别名的密码，请在命令提示符下键入：显示密码 SENE
show cipher SECURE
1) Cipher Name: TLS1.2-ECDHE-RSA-AES256-GCM-SHA384 Priority : 1
Description: TLSv1.2 Kx=ECC-DHE Au=RSA Enc=AES-GCM(256) Mac=AEAD HexCode=0xc030
2) Cipher Name: TLS1.2-ECDHE-RSA-AES128-GCM-SHA256 Priority : 2
Description: TLSv1.2 Kx=ECC-DHE Au=RSA Enc=AES-GCM(128) Mac=AEAD HexCode=0xc02f
3) Cipher Name: TLS1.2-ECDHE-ECDSA-AES256-GCM-SHA384 Priority : 3
Description: TLSv1.2 Kx=ECC-DHE Au=ECDSA Enc=AES-GCM(256) Mac=AEAD HexCode=0xc02c
4) Cipher Name: TLS1.2-ECDHE-ECDSA-AES128-GCM-SHA256 Priority : 4
Description: TLSv1.2 Kx=ECC-DHE Au=ECDSA Enc=AES-GCM(128) Mac=AEAD HexCode=0xc02b
Done
<!--NeedCopy-->
配置
执行以下步骤:
- 添加 SSL 类型的负载平衡虚拟服务器。
- 绑定一个 SHA2/SHA256 证书。
- 启用默认配置文件。
- 将安全前端配置文件绑定到 SSL 虚拟服务器。
通过使用 CLI 获取 SSL 虚拟服务器的 A+ 评级
在命令提示符下，键入：
add lb vserver <name> <serviceType> <IPAddress> <port>
bind ssl vserver <vServerName> -certkeyName <string>
set ssl parameter -defaultProfile ENABLED
set ssl vserver <vServerName> -sslProfile ns_default_ssl_profile_secure_frontend
show ssl vserver [<vServerName>]
<!--NeedCopy-->
示例：
add lb vserver ssl-vsvr SSL 192.0.2.240 443
bind ssl vserver ssl-vsvr -certkeyName letrsa
set ssl parameter -defaultProfile ENABLED
Save your configuration before enabling the Default profile. You cannot undo the changes. Are you sure you want to enable the Default profile? [Y/N]y
set ssl vserver ssl-vsvr -sslProfile ns_default_ssl_profile_secure_frontend
<!--NeedCopy-->
sh ssl vserver ssl-vsvr
Advanced SSL configuration for VServer ssl-vsvr:
Profile Name :ns_default_ssl_profile_secure_frontend
1) CertKey Name: letrsa Server Certificate
Done
<!--NeedCopy-->
sh ssl profile ns_default_ssl_profile_secure_frontend
1) Name: ns_default_ssl_profile_secure_frontend (Front-End)
SSLv3: DISABLED TLSv1.0: DISABLED TLSv1.1: DISABLED TLSv1.2: ENABLED TLSv1.3: DISABLED
Client Auth: DISABLED
Use only bound CA certificates: DISABLED
Strict CA checks: NO
Session Reuse: ENABLED Timeout: 120 seconds
DH: DISABLED
DH Private-Key Exponent Size Limit: DISABLED Ephemeral RSA: ENABLED Refresh Count: 0
Deny SSL Renegotiation NONSECURE
Non FIPS Ciphers: DISABLED
Cipher Redirect: DISABLED
SSL Redirect: DISABLED
Send Close-Notify: YES
Strict Sig-Digest Check: DISABLED
Zero RTT Early Data: DISABLED
DHE Key Exchange With PSK: NO
Tickets Per Authentication Context: 1
Push Encryption Trigger: Always
PUSH encryption trigger timeout: 1 ms
SNI: DISABLED
OCSP Stapling: DISABLED
Strict Host Header check for SNI enabled SSL sessions: NO
Push flag: 0x0 (Auto)
SSL quantum size: 8 kB
Encryption trigger timeout 100 mS
Encryption trigger packet count: 45
Subject/Issuer Name Insertion Format: Unicode
SSL Interception: DISABLED
SSL Interception OCSP Check: ENABLED
SSL Interception End to End Renegotiation: ENABLED
SSL Interception Maximum Reuse Sessions per Server: 10
Session Ticket: DISABLED
HSTS: ENABLED
HSTS IncludeSubDomains: YES
HSTS Max-Age: 15552000
ECC Curve: P_256, P_384, P_224, P_521
1) Cipher Name: SECURE Priority :1
Description: Predefined Cipher Alias
1) Vserver Name: v2
Done
<!--NeedCopy-->
通过使用 GUI 获取 SSL 虚拟服务器的 A+ 评级
- 导航到流量管理 > 负载平衡 > 虚拟服务器，然后选择 SSL 虚拟服务器。
- 在高级设置中，单击 SSL 配置文件。
- 选择默认值 ns_default_ssl_profile_secure_frontend。
- 单击 OK（确定）。
- 单击完成。
安全的前端配置文件
已复制!
失败!