如果 ADC 不支持密码，则配置 SSL 操作以转发客户端流量

January 11, 2024

投稿者:

在客户端 hello 消息中，如果您收到 ADC 不支持的密码，则可以配置 SSL 操作将客户端流量转发到其他虚拟服务器。如果您不希望 SSL 卸载，请将此虚拟服务器配置为 TCP 或 SSL_BRIDGE 类型。ADC 上没有 SSL 卸载，该流量会被绕过。对于 SSL 卸载，请将 SSL 虚拟服务器配置为转发虚拟服务器。

请执行以下步骤：

添加 SSL 类型的负载平衡虚拟服务器。在此虚拟服务器上接收客户端流量。
将 SSL 服务绑定到此虚拟服务器。
添加 TCP 类型的负载平衡虚拟服务器。注意：对于要将流量转发到的虚拟服务器，IP 地址或端口号不是必需的。
使用端口 443 添加一个 TCP 服务。
将此服务绑定到之前创建的 TCP 虚拟服务器。
添加 SSL 操作，在 “转发” 参数中指定 TCP 虚拟服务器。
如果在客户端 hello 消息中收到特定的密码套件（由其十六进制代码标识），则添加一个 SSL 策略，指定上述操作。
将此策略绑定到 SSL 虚拟服务器。
保存配置。

使用 CLI 进行配置

add service ssl-service 10.102.113.155 SSL 443
add ssl certkey sv -cert complete/server/server_rsa_2048.pem -key complete/server/server_rsa_2048.ky
add ssl certkey cacert -cert complete/CA/root_rsa_1024.pem -key complete/CA/root_rsa_1024.ky
add lb vserver v1 SSL 10.102.57.186 443
bind ssl vserver v1 -certkeyName sv
bind lb vserver v1 ssl-service
add lb vserver v2 TCP
add service tcp-service 10.102.113.150 TCP 443
bind lb vserver v2 tcp-service
add ssl action act1 -forward v2
add ssl policy pol2 -rule client.ssl.client_hello.ciphers.has_hexcode(0x002f) -action act1
bind ssl vserver v1 -policyName pol2 -type CLIENTHELLO_REQ -priority 1
 

sh ssl vserver v1

    Advanced SSL configuration for VServer v1:
    DH: DISABLED
    DH Private-Key Exponent Size Limit: DISABLED    Ephemeral RSA: ENABLED  Refresh Count: 0
    Session Reuse: ENABLED  Timeout: 120 seconds
    Cipher Redirect: DISABLED
    SSLv2 Redirect: DISABLED
    ClearText Port: 0
    Client Auth: DISABLED
    SSL Redirect: DISABLED
    Non FIPS Ciphers: DISABLED
    SNI: ENABLED
    OCSP Stapling: DISABLED
    HSTS: DISABLED
    HSTS IncludeSubDomains: NO
    HSTS Max-Age: 0
    SSLv2: DISABLED  SSLv3: ENABLED  TLSv1.0: ENABLED  TLSv1.1: ENABLED  TLSv1.2: ENABLED  TLSv1.3: DISABLED
    Push Encryption Trigger: Always
    Send Close-Notify: YES
    Strict Sig-Digest Check: DISABLED
    Zero RTT Early Data: DISABLED
    DHE Key Exchange With PSK: NO
    Tickets Per Authentication Context: 1

    ECC Curve: P_256, P_384, P_224, P_521

1)  CertKey Name: sv    Server Certificate


    Data policy
1)  Policy Name: pol2   Priority: 1



1)  Cipher Name: DEFAULT
    Description: Default cipher list with encryption strength >= 128bit
 Done
sh ssl policy pol2
    Name: pol2
    Rule: client.ssl.client_hello.ciphers.has_hexcode(0x002f)
    Action: act1
    UndefAction: Use Global
    Hits: 0
    Undef Hits: 0


    Policy is bound to following entities
1)  Bound to: CLIENTHELLO_REQ VSERVER v1
    Priority: 1

 Done
 

sh ssl action act1
1)  Name: act1
    Type: Data Insertion
    Forward to: v2
    Hits: 0
    Undef Hits: 0
    Action Reference Count: 1
 Done
 

sh ssl vserver v2

    Advanced SSL configuration for VServer v2:
    DH: DISABLED
    DH Private-Key Exponent Size Limit: DISABLED    Ephemeral RSA: ENABLED  Refresh Count: 0
    Session Reuse: ENABLED  Timeout: 120    seconds
    Cipher Redirect: DISABLED
    SSLv2 Redirect: DISABLED
    ClearText Port: 0
    Client Auth: DISABLED
    SSL Redirect: DISABLED
    Non FIPS Ciphers: DISABLED
    SNI: DISABLED
    OCSP Stapling: DISABLED
    HSTS: DISABLED
    HSTS IncludeSubDomains: NO
    HSTS Max-Age: 0
    SSLv2: DISABLED  SSLv3: ENABLED  TLSv1.0: ENABLED  TLSv1.1: ENABLED  TLSv1.2: ENABLED  TLSv1.3: DISABLED
    Push Encryption Trigger: Always
    Send Close-Notify: YES
    Strict Sig-Digest Check: DISABLED
    Zero RTT Early Data: DISABLED
    DHE Key Exchange With PSK: NO
    Tickets Per Authentication Context: 1

    ECC Curve: P_256, P_384, P_224, P_521

1)  CertKey Name: sv    Server Certificate



1)  Cipher Name: DEFAULT
    Description: Default cipher list with encryption strength >= 128bit
 

使用 GUI 进行配置

创建 TCP 虚拟服务器：

导航到流量管理 > 负载平衡 > 虚拟服务器。
创建 TCP 虚拟服务器。
单击 “ 服务和服务组 ” 部分，然后添加 TCP 服务或绑定现有服务。
单击绑定。
单击继续。

创建 SSL 虚拟服务器：

导航到流量管理 > 负载平衡 > 虚拟服务器。
创建另一个 SSL 虚拟服务器。
单击 “ 服务和服务组 ” 部分，然后添加新的 SSL 服务或绑定现有服务。
单击绑定。
单击继续。
单击 “ 证书 ” 部分并绑定服务器证书。
单击继续。
在 “高级设置”中，单击 SSL 策略。
单击 SSL 策略部分以添加或选择现有策略。
在 “ 策略绑定” 中，单击 “ 添加 ” 并指定策略的名称。
在“操作”中，单击“添加”。
为 SSL 操作指定一个名称。在 F orward Action 虚拟服务器中，选择之前创建的 TCP 虚拟服务器。
单击 Create（创建）。
在表达式中指定 CLIENT.SSL.CLIENT_HELLO.CIPHERS.HAS_HEXCODE（不支持的密码 的十六进制代码）。
单击 Done（完成）。
在策略中，配置表达式以评估不支持的密码的流量。
将操作绑定到策略，将策略绑定到 SSL 虚拟服务器。指定绑定点 CLIENTHELLO_REQ。
单击 Done（完成）。

本内容的正式版本为英文版。部分 Cloud Software Group 文档内容采用了机器翻译，仅供您参考。Cloud Software Group 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Cloud Software Group 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Cloud Software Group 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Cloud Software Group 不承担任何责任。

这是否有帮助？

如果 ADC 不支持密码，则配置 SSL 操作以转发客户端流量

January 11, 2024

投稿者:

在本文中

这是否有帮助？