SSL 策略绑定
您可以全局绑定 SSL 策略，也可以仅绑定到 SSL 类型的虚拟服务器。在评估绑定到服务、虚拟服务器或其他 NetScaler 绑定点的所有策略后，将评估全局绑定策略。如果传入的数据与 SSL 策略中配置的任何规则相匹配，则会触发该策略并执行与之相关的操作。
将 SSL 策略绑定到虚拟服务器时，必须从以下绑定点中选择一个：
-
请求（默认绑定点。策略评估在 SSL 握手完成后在 HTTP 层中完成。）
-
INTERCEPT_REQ（此选项适用于 Citrix Secure Web Gateway 设置。有关更多信息，请参阅 SSL 拦截的 SSL 策略基础设施）。
-
CLIENTHELLO_REQ
同样，在解除策略与虚拟服务器的绑定时，必须指定绑定点。
如果您指定 CLIENTHELLO_REQ 作为绑定点，则在收到客户端 hello 消息时会评估策略。允许的操作包括“重置”、“向前”和 caCertGrpName。重置操作会终止连接。转发操作将请求转发到负载平衡虚拟服务器进行处理。caCertGrpName 操作有选择地选择基于 SNI 的 CA 进行客户端身份验证。有关 SSL 操作的更多信息，请参阅 SSL 内置操作和用户定义的操作。
注意： TLS 1.3 协议不支持动作 cacertgrpName。
使用 CLI 在全球范围内绑定 SSL 策略
在命令提示符处，键入以下命令以绑定全局 SSL 策略并验证配置：
bind ssl global - policyName <string> [- priority <positive_integer>]
show ssl global
<!--NeedCopy-->
示例：
bind ssl global -policyName Policy-SSL-2 -priority 90
Done
sh ssl global
1) Name: Policy-SSL-2 Priority: 90
2) Name: Policy-SSL-1 Priority: 100
Done
<!--NeedCopy-->
使用 GUI 在全球范围内绑定 SSL 策略
- 导航到 流量管理 > SSL > 策略。
- 在详细信息窗格中，单击 全局绑定。
- 在“将SSL 策略绑定/取消绑定到全局”对话框中，单击“插入策略”。
- 在 策略名称 列表中，选择一个策略。
- （可选）将条目拖到策略库中的新位置以自动更新优先级。
- 单击“确定”。状态栏中将显示一条消息，指出策略已成功绑定。
使用 CLI 将 SSL 策略绑定或取消绑定到虚拟服务器
在命令提示符下，键入以下命令将 SSL 策略绑定到虚拟服务器并验证配置：
bind ssl vserver <vServerName> -policyName <string> -priority <positive_integer> -type <type>
unbind ssl vserver <vServerName> -policyName <string> -priority <positive_integer> -type <type>
<!--NeedCopy-->
示例：
bind ssl vserver v1 -policyName pol1 -priority 1 -type CLIENTHELLO_REQ
<!--NeedCopy-->
unbind ssl vserver v1 -policyName pol1 -priority 1 -type CLIENTHELLO_REQ
<!--NeedCopy-->
show ssl vserver vs-server
Advanced SSL configuration for VServer vs-server:
DH: DISABLED
Ephemeral RSA: ENABLED Refresh Count: 1000
Session Reuse: ENABLED Timeout: 120 seconds
Cipher Redirect: DISABLED
SSLv2 Redirect: DISABLED
ClearText Port: 80
Client Auth: DISABLED
SSL Redirect: ENABLED
SSL-REDIRECT Port Rewrite: ENABLED
Non FIPS Ciphers: DISABLED
SSLv2: DISABLED SSLv3: ENABLED TLSv1: ENABLED
1) Policy Name: ssl-policy-1 Priority: 10
1) Cipher Name: DEFAULT
Description: Predefined Cipher Alias
Done
<!--NeedCopy-->
使用 GUI 将 SSL 策略绑定到虚拟服务器
- 导航到 流量管理 > 负载平衡 > 虚拟服务器，然后打开 SSL 虚拟服务器。
- 在 高级设置中，选择 SSL 策略。单击 SSL 策略 部分将策略绑定到虚拟服务器。
- 在“策略绑定”页面中，选择现有策略或添加新策略。
- 指定策略的优先级和类型（绑定点）。
- 选择“绑定”。
- 选择完成。
已复制!
失败!