Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
AUF DIESER SEITE
 

Konfigurieren von SSL-Proxy

Geräte der SRX-Serie unterstützen SSL Forward Proxy und SSL Reverse Proxy.

Konfigurieren von SSL Forward Proxy

SSL-Proxy-Konfiguration – Übersicht

Die Konfiguration des SSL-Weiterleitungs-Proxys zeigt eine Übersicht darüber an, wie der SSL-Proxy konfiguriert wird. Die Konfiguration von SSL-Proxy umfasst:

  • Konfigurieren des Ca-Stammzertifikats

  • Laden einer CA-Profilgruppe

  • Konfigurieren des SSL-Proxyprofils und zuordnen des Stamm-CA-Zertifikats und der CA-Profilgruppe

  • Erstellen Sie eine Sicherheitsrichtlinie, indem Sie Kriterien für die Übereinstimmung des Eingabedatenverkehrs definieren.

  • Anwenden eines SSL-Proxyprofils auf eine Sicherheitsrichtlinie

  • Optionale Schritte wie das Erstellen von Allowlists und SSL-Proxyprotokollierung

Konfigurieren eines CA-Root-Zertifikats

Eine Zertifizierungsstelle kann mehrere Zertifikate in Form einer Baumstruktur ausstellen. Ein Stammzertifikat ist das oberste Zertifikat der Struktur, dessen privater Schlüssel für sign andere Zertifikate verwendet wird. Alle Zertifikate, die direkt unter dem Stammzertifikat liegen, erben die Signatur oder Vertrauenswürdigkeit des Stammzertifikats. Das ist ein bisschen wie eine notarizing Identität.

Sie können ein CA-Root-Zertifikat konfigurieren, indem Sie zuerst ein CA-Root-Zertifikat erhalten (indem Sie entweder ein selbstsigniertes Zertifikat generieren oder importieren) und es dann auf ein SSL-Proxyprofil anwenden. Sie können ein CA-Root-Zertifikat über die Junos OS CLI erhalten.

Generieren Eines CA-Root-Zertifikats mit CLI

Um ein selbstsigniertes Zertifikat in CLI zu definieren, müssen Sie die folgenden Details angeben:

  • Zertifikatskennung (im vorherigen Schritt generiert)

  • Vollqualifizierter Domänenname (FQDN) für das Zertifikat

  • E-Mail-Adresse der Entität, die das Zertifikat besitzt

  • Gemeinsamer Name und die beteiligte Organisation

Generieren Sie mithilfe der Junos OS CLI ein CA-Stammzertifikat:

  1. Generieren Sie im Betriebsmodus ein PKI-Paar für öffentliche/private Schlüssel für ein lokales digitales Zertifikat.

    Hier können Sie eine der folgenden Kombinationen auswählen:

    • 1024 Bits (nur RSA/DSA)

    • 2048 Bits (nur RSA/DSA)

    • 256 Bits (nur ECDSA)

    • 384 Bits (nur ECDSA)

    • 4096 Bits (nur RSA/DSA)

    • 521 Bits (nur ECDSA)

    Beispiel:

    Oder
  2. Definieren sie ein selbstsigniertes Zertifikat.

    Beispiel:

    Indem Sie die add-ca-constraint Option konfigurieren, stellen Sie sicher, dass das Zertifikat zum Signieren anderer Zertifikate verwendet werden kann.

  3. Wenden Sie das geladene Zertifikat im Konfigurationsmodus als root-ca im SSL-Proxyprofil an.

    Beispiel:

  4. Importieren Sie die Stammzertifizierungsstelle als vertrauenswürdige CA in Client-Browser. Dies ist erforderlich, damit die Client-Browser den vom Gerät der SRX-Serie signierten Zertifikaten vertrauenswürdig sind. Siehe Importieren eines CA-Root-Zertifikats in einen Browser.

Konfigurieren einer CA-Profilgruppe

Das CA-Profil definiert die Zertifikatsinformationen für die Authentifizierung. Es enthält den öffentlichen Schlüssel, den SSL-Proxy beim Generieren eines neuen Zertifikats verwendet. Junos OS ermöglicht es Ihnen, eine Gruppe von CA-Profilen zu erstellen und mehrere Zertifikate in einer Aktion zu laden, Informationen zu allen Zertifikaten in einer Gruppe anzuzeigen und unerwünschte Ca-Gruppen zu löschen.

Sie können eine Gruppe von CA-Profilen laden, indem Sie eine Liste vertrauenswürdiger CA-Zertifikate abrufen, eine CA-Gruppe definieren und die CA-Gruppe dem SSL-Proxyprofil anfügen.

  1. Rufen Sie mithilfe einer der folgenden Methoden eine Liste vertrauenswürdiger CA-Zertifikate ab. Wenn eine Verbindung hergestellt wird, prüft das verbindende Gerät (z. B. ein Webbrowser), ob das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. Ohne diese Zertifikate können Browser die Identität der meisten Websites nicht überprüfen und als nicht vertrauenswürdige Websites kennzeichnen.

    • Junos OS bietet eine Standardliste vertrauenswürdiger Ca-Zertifikate, die Sie auf Ihr System laden können. Das Junos OS-Paket enthält die Standard-CA-Zertifikate als PEM-Datei (z. B. trusted_CA.pem). Nachdem Sie das Junos OS-Paket heruntergeladen haben, sind die Standardzertifikate auf Ihrem System verfügbar.

      Laden Sie im Betriebsmodus die standardmäßigen vertrauenswürdigen Zertifizierungsstellenzertifikate (der Gruppenname identifiziert die CA-Profilgruppe):

      Beispiel:

      Wir empfehlen die Verwendung dieser Methode.

    • Alternativ können Sie eine eigene Liste vertrauenswürdiger CA-Zertifikate definieren und diese in Ihr System importieren. Sie erhalten die Liste der vertrauenswürdigen CAs in einer einzigen PEM-Datei (z. B. IE-all.pem) und speichern die PEM-Datei an einem bestimmten Speicherort (z. B. /var/tmp).

      Laden Sie aus dem Betriebsmodus die vertrauenswürdige Liste auf das Gerät (der Gruppenname identifiziert die CA-Profilgruppe):

      Beispiel:

    • Laden Sie die neueste CA-Paketliste von einem anderen Drittanbieter wie Mozilla (https://curl.haxx.se/docs/caextract.html) herunter. Die Liste der vertrauenswürdigen Zertifizierungsstelle kann sich im Laufe der Zeit ändern. Stellen Sie sicher, dass Sie das neueste CA-Paket verwenden.

    • Importieren Sie Ihre eigenen vertrauenswürdigen CA-Zertifikate mithilfe der Public Key Infrastructure (PKI). Die PKI hilft bei der Überprüfung und Authentifizierung der Gültigkeit der vertrauenswürdigen CA-Zertifikate. Sie erstellen CA-Profilgruppen, die vertrauenswürdige CA-Zertifikate enthalten, und importieren dann die Gruppe zur Serverauthentifizierung auf Ihrem Gerät.

  2. Fügen Sie die vertrauenswürdige CA oder die vertrauenswürdige CA-Gruppe dem SSL-Proxyprofil an. Sie können alle vertrauenswürdigen Zertifizierungsstellen oder eine vertrauenswürdige ZERTIFIZIERUNGsstelle nacheinander anfügen:

    • Fügen Sie alle CA-Profilgruppen an:

      Beispiel

    • Fügen Sie eine CA-Profilgruppe an (der Gruppenname identifiziert die CA-Profilgruppe).

      Beispiel

Sie können problemlos Informationen zu allen Zertifikaten in einer CA-Profilgruppe anzeigen:

Sie können eine CA-Profilgruppe löschen. Denken Sie daran, dass beim Löschen einer CA-Profilgruppe alle Zertifikate gelöscht werden, die zu dieser Gruppe gehören:

Importieren eines CA-Root-Zertifikats in einen Browser

Damit Ihr Browser oder System automatisch allen Zertifikaten vertraut, die von der Root-Zertifizierungsstelle im SSL-Proxyprofil konfiguriert sind, müssen Sie Ihre Plattform oder Ihren Browser anweisen, dem CA-Root-Zertifikat zu vertrauen.

So importieren Sie ein Ca-Zertifikat:

  1. Generieren Sie eine Datei im PEM-Format für die konfigurierte Stammzertifizierungsstelle.
  2. Importieren Eines Ca-Root-Zertifikats in einen Browser.

    Von Internet Explorer (Version 8.0):

    1. Wählen Sie im Menü Extras die Option Internetoptionen aus.
    2. Klicken Sie auf der Registerkarte Inhalt auf Zertifikate.
    3. Wählen Sie die Registerkarte Trusted Root Certification Authorities aus , und klicken Sie auf Importieren.
    4. Navigieren Sie im Zertifikatimportassistenten zu dem erforderlichen Ca-Stammzertifikat, und wählen Sie es aus.

    Von Firefox (Version 39.0):

    1. Wählen Sie im Menü Extras die Option Optionen aus.
    2. Wählen Sie im Menü Erweitert die Registerkarte Zertifikate aus, und klicken Sie auf Zertifikat anzeigen.
    3. Wählen Sie im Fenster "Certificate Manager" die Registerkarte "Behörden " aus, und klicken Sie auf "Importieren".
    4. Navigieren Sie zum erforderlichen Ca-Root-Zertifikat, und wählen Sie es aus.

    Von Google Chrome (45.0):

    1. Wählen Sie im Menü "Einstellungen " die Option "Erweiterte Einstellungen anzeigen".
    2. Wählen Sie im Menü Erweitert die Registerkarte Zertifikate aus, und klicken Sie auf Zertifikat anzeigen.
    3. Klicken Sie unter HTTPS/SSL auf Zertifikate verwalten.
    4. Wählen Sie im Zertifikatsfenster vertrauenswürdige Stammzertifizierungsstellen aus , und klicken Sie auf Importieren.
    5. Navigieren Sie im Zertifikatimportassistenten zu dem erforderlichen Ca-Stammzertifikat, und wählen Sie es aus.

Anwenden eines SSL-Proxyprofils auf eine Sicherheitsrichtlinie

DER SSL-Proxy wird innerhalb einer Sicherheitsrichtlinie als Anwendungsservice aktiviert. In einer Sicherheitsrichtlinie geben Sie den Datenverkehr an, für den der SSL-Proxy als Übereinstimmungskriterien aktiviert werden soll, und geben dann das SSL-Proxy-CA-Profil an, das auf den Datenverkehr angewendet werden soll. Abbildung 1 zeigt eine grafische Ansicht des SSL-Proxyprofils und der Konfiguration von Sicherheitsrichtlinien.

Abbildung 1: Anwenden eines SSL-Proxyprofils auf eine Sicherheitsrichtlinie

So aktivieren Sie den SSL-Proxy in einer Sicherheitsrichtlinie:

In diesem Beispiel wird davon ausgegangen, dass Sie bereits Sicherheitszonen vertrauenswürdig und nicht vertrauenswürdig erstellt haben und eine Sicherheitsrichtlinie für den Datenverkehr von der Vertrauenszone zur nicht vertrauenswürdigen Zone erstellen.

  1. Erstellen Sie eine Sicherheitsrichtlinie und geben Sie die Übereinstimmungskriterien für die Richtlinie an. Geben Sie als Übereinstimmungskriterien den Datenverkehr an, für den Ssl-Proxy aktiviert werden soll.

    Beispiel:

  2. Wenden Sie das SSL-Proxyprofil auf die Sicherheitsrichtlinie an.

Konfigurieren der SSL-Proxyprotokollierung

Bei der Konfiguration des SSL-Proxys können Sie die Option festlegen, um einige oder alle Protokolle zu erhalten. SSL-Proxyprotokolle enthalten den logischen Systemnamen, SSL-Proxy-Zulässige Listen, Richtlinieninformationen, SSL-Proxyinformationen und andere Informationen, die Ihnen bei der Fehlerbehebung bei einem Fehler helfen.

Sie können die Protokollierung von all oder bestimmten Ereignissen konfigurieren, z. B. Fehler-, Warn- und Informationsereignisse. Sie können auch die Protokollierung von Sitzungen konfigurieren, die nach dem Auftreten eines Fehlers zugelassen, abgelegt, ignoriert oder zugelassen werden.

Sie können die Option verwenden enable-flow-tracing , um die Debug-Ablaufverfolgung zu aktivieren.

Konfigurieren von Zertifizierungsstellenprofilen

Eine Zertifizierungsstelle(CA)-Profilkonfiguration enthält informationen, die für eine Zertifizierungsstelle spezifisch sind. Sie können mehrere CA-Profile auf einem Gerät der SRX-Serie haben. Sie können beispielsweise ein Profil für orgA und eines für orgB haben. Jedes Profil ist mit einem CA-Zertifikat verknüpft. Wenn Sie ein neues CA-Zertifikat laden möchten, ohne das ältere zu entfernen, erstellen Sie ein neues CA-Profil (z. B. Microsoft-2008). Sie können mehrere CA-Profile in einer vertrauenswürdigen Ca-Gruppe für eine bestimmte Topologie gruppieren.

In diesem Beispiel erstellen Sie ein CA-Profil namens ca-profile-security mit CA-Identität microsoft-2008. Anschließend erstellen Sie ein Proxyprofil für das CA-Profil.

  1. Konfigurieren Sie im Konfigurationsmodus das CA-Profil, das für das Laden des Zertifikats verwendet wird.

    Beispiel:

  2. Commit der Konfiguration.
  3. Laden Sie das Zertifikat über den Betriebsmodus mit PKI-Befehlen.

    Beispiel:

  4. Deaktivieren Sie im Konfigurationsmodus die Sperrprüfung (falls erforderlich).

    Beispiel:

  5. Konfigurieren Sie das geladene Zertifikat im Konfigurationsmodus als vertrauenswürdige CA im SSL-Proxyprofil.

    Beispiel:

    Hinweis:

    Für ein Profil können mehr als eine vertrauenswürdige Zertifizierungsstelle konfiguriert werden.
  6. (Optional) Wenn Sie über mehrere vertrauenswürdige Zertifizierungsstellenzertifikate verfügen, müssen Sie nicht jede vertrauenswürdige Zertifizierungsstelle separat angeben. Sie können die vertrauenswürdigen Ca-Zertifikate mit dem folgenden Befehl aus dem Konfigurationsmodus laden all .
    Hinweis:

    Alternativ können Sie eine Reihe von vertrauenswürdigen CAs von Ihrem Browser in das Gerät der SRX-Serie importieren.

Exportieren von Zertifikaten an einen angegebenen Speicherort

Wenn ein selbstsigniertes Zertifikat mit einem PKI-Befehl generiert wird, wird das neu generierte Zertifikat an einem vordefinierten Speicherort (var/db/certs/common/local) gespeichert.

Verwenden Sie den folgenden Befehl, um das Zertifikat an einen bestimmten Speicherort (innerhalb des Geräts) zu exportieren. Sie können die Zertifikats-ID, den Dateinamen und den Typ des Dateiformats (DER/PEM) angeben:

Ignorieren der Serverauthentifizierung

Mit Junos OS können Sie eine Option konfigurieren, um die Serverauthentifizierung vollständig zu ignorieren. Wenn Sie Ihr System so konfigurieren, dass die Authentifizierung ignoriert wird, werden alle Fehler ignoriert, die bei der Serverzertifikatsprüfung zum Zeitpunkt des SSL-Handshakes aufgetreten sind. Zu den in der Regel ignorierten Fehlern gehören die Unfähigkeit, die Ca-Signatur zu überprüfen, falsche Ablaufdaten des Zertifikats usw. Wenn diese Option nicht festgelegt ist, werden alle Sitzungen, in denen der Server selbstsignierte Zertifikate sendet, unterbrochen, wenn Fehler auftreten.

Wir empfehlen die Verwendung dieser Option für die Authentifizierung nicht, da die Konfiguration dazu führt, dass Websites überhaupt nicht authentifiziert werden. Sie können diese Option jedoch verwenden, um die Ursache für unterbrochene SSL-Sitzungen effektiv zu ermitteln.

Geben Sie im Konfigurationsmodus an, um die Serverauthentifizierung zu ignorieren:

SSL Reverse Proxy

Übersicht

Die Implementierung des Proxymodells für den Serverschutz (oft reverse Proxy genannt) wird auf Geräten der SRX-Serie unterstützt, um verbessertes Handshaking und Unterstützung für mehr Protokollversionen bereitzustellen. Sie können Layer-7-Services (Anwendungssicherheit, IPS, UTM, SKY ATP) für den Datenverkehr aktivieren, der durch SSL Reverse Proxy entschlüsselt wird.

Ab Junos OS Version 15.1X49-D80 und 17.3R1 wird SSL Reverse Proxy auf Geräten der SRX5000-Serie, SRX4100, SRX4200 und SRX1500 unterstützt.

Ab Junos OS Version 15.1X49-D80 und 17.3R1 empfehlen wir die Verwendung des SSL Reverse Proxy und intrusion Detection and Prevention (IDP) anstelle der IDP-SSL-Überprüfungsfunktionen.

Ab Junos OS 15.1X49-D80 und 17.3R1 ist die IDP SSL Inspection veraltet – und nicht sofort entfernt –, um Abwärtskompatibilität zu gewährleisten und die Möglichkeit zu bieten, Ihre Konfiguration mit der neuen Konfiguration in Einklang zu bringen.

#id-overview__rp-compare1 stellt die Änderungen bereit, die nach den Versionen 15.1X48-D80 und 17.3R1 auf Geräten der SRX-Serie anwendbar sind.

Tabelle 1: Vergleich von Reverse Proxy vor und nach Junos OS-Version 15.1X49-D80

Feature

Vor 15.1X49-D80

15.1X49-D80 und 17.3R1 später

Proxy-Modell

Wird nur im Tap-Modus ausgeführt Anstatt am SSL-Handshake teilzunehmen, lauscht es auf den SSL-Handshake, berechnet Sitzungsschlüssel und entschlüsselt dann den SSL-Datenverkehr.

Beendet Client-SSL auf dem Gerät der SRX-Serie und initiiert eine neue SSL-Verbindung mit einem Server. Entschlüsselt SSL-Datenverkehr vom Client/Server und verschlüsselt (nach der Prüfung) erneut, bevor es an den Server/Client gesendet wird.

Protokollversion

Unterstützt TLS-Version 1.1 und 1.2 nicht.

Unterstützt alle aktuellen Protokollversionen.

Wichtige Austauschmethoden

  • Unterstützt RSA

  • Unterstützt keine DHE.

  • Unterstützt RSA

  • Unterstützung für DHE oder ECDHE

Echo-System

Eng gekoppelt mit DEM IDP-Motor und seinem Detektor.

Verwendet vorhandenen SSL-Weiterleitungs-Proxy mit TCP-Proxy darunter.

Sicherheitsservices

Entschlüsselter SSL-Datenverkehr kann nur von IDP geprüft werden.

Genau wie Der Weiterleitungs-Proxy ist auch der entschlüsselte SSL-Datenverkehr für alle Sicherheitsservices verfügbar.

Unterstützte Ciphers

Eine begrenzte Anzahl von Chiffren wird unterstützt.

Alle häufig verwendeten Chiffren werden unterstützt.

Sie müssen entweder root-ca oder server-certificate in einem SSL-Proxyprofil konfigurieren. Andernfalls schlägt die Commit-Prüfung fehl. Siehe #id-overview__profile-typ1.

Tabelle 2: Unterstützte SSL-Proxykonfigurationen

Serverzertifikat konfiguriert

root-ca konfiguriert

Profiltyp

Nein

Nein

Commit-Prüfung schlägt fehl. Sie müssen entweder server-certificate oder root-ca.

Ja

Ja

Commit-Prüfung schlägt fehl. Die Konfiguration sowohl als auch server-certificate root-ca im selben Profil wird nicht unterstützt.

Nein

Ja

Weiterleitungs-Proxy

Ja

Nein

Reverse Proxy

Die Konfiguration mehrerer Instanzen von Forward- und Reverse-Proxy-Profilen wird unterstützt. Für eine bestimmte Firewall-Richtlinie kann jedoch nur ein Profil (entweder ein Forward- oder Reverse-Proxy-Profil) konfiguriert werden. Die Konfiguration von Forward- und Reverse-Proxy auf demselben Gerät wird ebenfalls unterstützt.

Sie können die vorherige Reverse-Proxy-Implementierung nicht mit der neuen Reverse-Proxy-Implementierung für eine bestimmte Firewall-Richtlinie konfigurieren. Wenn beide konfiguriert sind, erhalten Sie eine Meldung über einen Fehler bei der Commit-Prüfung.

Die folgenden Mindestschritte zur Konfiguration des Reverse-Proxys sind:

  1. Laden Sie die Serverzertifikate und ihre Schlüssel mithilfe des CLI-Befehls request security pki local-certificate load filename filename key key certificate-id certificate-id passphrase exmample@1234in das Gerätezertifikat-Repository der SRX-Serie. Zum Beispiel:
  2. Fügen Sie die Serverzertifikatskennung mithilfe des CLI-Befehls an das SSL-Proxyprofil an set services ssl proxy profile profile server-certificate certificate-id passphrase exmample@1234. Zum Beispiel

    user@host#-Services setzen SSL-Proxyprofil Serverschutzprofil Server-Zertifikats-server2_cert_id

  3. Nutzen Sie die show services ssl CLI-Befehl zur Überprüfung Ihrer Konfiguration. Zum Beispiel:

Für ssl-Weiterleitungs- und Reverse-Proxy muss ein Profil auf Firewall-Regelebene konfiguriert werden. Darüber hinaus müssen Sie Serverzertifikate mit privaten Schlüsseln für den Reverse-Proxy konfigurieren. Während eines SSL-Handshake führt der SSL-Proxy eine Suche nach einem passenden privaten Serverschlüssel in seiner Hash-Tabellendatenbank für den privaten Server aus. Wenn die Suche erfolgreich ist, wird der Handshake fortgesetzt. Andernfalls beendet der SSL-Proxy den Hand-Shake. Reverse Proxy verbietet Serverzertifikate nicht. Es leitet das tatsächliche Serverzertifikat/die tatsächliche Kette so weiter, wie es ist, an den Client, ohne es zu ändern. Das Abfangen des Serverzertifikats erfolgt nur mit Weiterleitungs-Proxy.

Im Folgenden werden die Konfigurationen von Forward- und Reverse-Proxy-Profilen veranschaulicht.

Konfigurieren des SSL Reverse Proxy

Dieses Beispiel zeigt, wie Sie den Reverse-Proxy konfigurieren, um den Serverschutz zu aktivieren. Zum Schutz des Servers müssen außerdem Serverzertifikate mit privaten Schlüsseln konfiguriert werden.

Ein Reverse-Proxy schützt Server, indem er die Details der Server vor den Clients versteckt und eine zusätzliche Sicherheitsebene hinzufügt.

Um einen SSL-Reverse-Proxy zu konfigurieren, müssen Sie:

  • Laden Sie die Serverzertifikate und ihre Schlüssel in das Zertifikats-Repository des Geräts der SRX-Serie.

  • Hängen Sie die(n) Serverzertifikat-Kennung(en) an das SSL-Proxyprofil an.

  • Wenden Sie das SSL-Proxyprofil als Anwendungsservices in einer Sicherheitsrichtlinie an.

So konfigurieren Sie den SSL-Reverse-Proxy:

  1. Laden Sie das Signaturzertifikat und den entsprechenden Schlüssel für das SSL-Proxyprofil in den PKI-Speicher.
  2. Hängen Sie das Serverzertifikat an das SSL-Proxyprofil an.
  3. Erstellen Sie eine Sicherheitsrichtlinie und geben Sie die Übereinstimmungskriterien für die Richtlinie an. Geben Sie als Übereinstimmungskriterien den Datenverkehr an, für den Ssl-Proxy aktiviert werden soll.
  4. Wenden Sie das SSL-Proxyprofil auf die Sicherheitsrichtlinie an. In diesem Beispiel wird davon ausgegangen, dass Sicherheitszonen gemäß den Anforderungen erstellt werden.

Überprüfen der SSL Reverse Proxy-Konfiguration auf dem Gerät

Zweck

Anzeigen der SSL-Reverse-Proxy-Statistik auf dem Gerät der SRX-Serie.

Aktion

Sie können die SSL-Proxystatistiken mit dem show services ssl proxy statistics Befehl anzeigen.

Konfigurieren von SSL-Proxy mit UTM

Geräte der SRX-Serie unterstützen Client-Schutz (Forward Proxy) und Serverschutz (Reverse Proxy). Sie können das SSL-Proxyprofil für Weiterleitungs- und Reverse-Proxy mit Unified Threat Management (UTM) konfigurieren.

Konfigurieren von SSL Forward Proxy mit UTM

In diesem Verfahren konfigurieren Sie ein SSL-Weiterleitungs-Proxyprofil mit UTM. Wenn Sie UTM konfigurieren, fungiert der SSL-Proxy als SSL-Server, indem er die SSL-Sitzung vom Client beendet und eine neue SSL-Sitzung für den Server aufbaut. Das Gerät der SRX-Serie entschlüsselt und verschlüsselt dann den gesamten SSL-Proxy-Datenverkehr. UTM kann die entschlüsselten Inhalte vom SSL-Proxy verwenden.

Generieren Sie ein lokales Zertifikat als root-ca.

  1. Generieren Sie im Betriebsmodus ein Schlüsselpaar für ein lokales digitales Zertifikat.
  2. Generieren Sie mithilfe des oben generierten Schlüsselpaares ein lokales Zertifikat.
  3. Wenden Sie das geladene Zertifikat im Konfigurationsmodus als root-ca im SSL-Proxyprofil an.
  4. Fügen Sie sicherheitsrichtlinien SSL-Profil und UTM-Richtlinien bei.

Konfigurieren von SSL Reverse Proxy mit UTM

In diesem Verfahren konfigurieren Sie ein SSL-Reverse-Proxy-Profil mit UTM.

  1. Laden Sie die Serverzertifikate und ihre Schlüssel in das Gerätezertifikat-Repository der SRX-Serie.
  2. Hängen Sie den Serverzertifikatsbezeichner aus dem Konfigurationsmodus an das SSL-Proxyprofil an.
  3. Fügen Sie SSL-Profil und UTM-Richtlinie an die Sicherheitsrichtlinie für den Datenverkehr von einer nicht vertrauenswürdigen Zone zur Trust Zone an.

Siehe auch

Erstellen einer Allowlist von befreiten Zielen für SSL-Proxy

Die SSL-Verschlüsselung und -Entschlüsselung kann Speicherressourcen auf den Geräten der SRX-Serie verbrauchen. Um dies einzuschränken, können Sie die SSL-Proxy-Verarbeitung für einige Sitzungen selektiv umgehen, z. B. Sitzungen, die mit vertrauten vertrauenswürdigen Servern oder Domänen transaktionen. Sie können die Sitzungen auch mit Finanz- und Bankseiten aufgrund gesetzlicher Vorschriften freistellen.

Um die Sitzungen vom SSL-Proxy auszunehmen, können Sie eine Allowlist erstellen, indem Sie IP-Adressen oder Domänennamen der Server hinzufügen. Zulässige Listen enthalten Adressen, die von der SSL-Proxyverarbeitung ausgenommen werden sollen.

Führen Sie die folgenden Schritte aus, um eine Allowlist zu erstellen:

  • Geben Sie IP-Adressen und Domänennamen in Ihrem globalen Adressbuch an.

  • Lesen Sie das globale Adressbuch im SSL-Proxyprofil.

Sie können die folgenden Typen der IP-Adressen im globalen Adressbuch konfigurieren.

  • IPv4-Adressen (Klartext). Zum Beispiel:

  • IPv4-Adressbereich. Zum Beispiel:

  • IPv4-Wildcard. Zum Beispiel:

  • DNS-Name. Zum Beispiel:

  • IPv6-Adresse. Zum Beispiel:

Zugelassene Listen unterstützen die folgenden ARTEN von IP-Adressen nicht:

  • Übersetzte IP-Adressen. Sitzungen werden basierend auf der tatsächlichen IP-Adresse und nicht auf der übersetzten IP-Adresse zugelassen. Aus diesem Grund sollte in der Allowlist-Konfiguration des SSL-Proxyprofils die tatsächliche IP-Adresse und nicht die übersetzte IP-Adresse angegeben werden.

  • Nicht-aufregende Netzmasken. Zum Beispiel:

    • IP-Adresse -203.0.113.0 und mask 255.255.255.0, 203.0.113.0/24 wird unterstützt.

    • IP-Adresse – 203.0.113.9 und mask 255.0.255.0 wird nicht unterstützt.

Das folgende Beispiel zeigt, wie Sie Zulässige Listen im SSL-Proxyprofil verwenden.

In diesem Beispiel befreien Sie alle Sitzungen von www.mycompany.com. Dazu geben Sie zunächst die Domäne im Adressbuch an und konfigurieren dann die Adresse im SSL-Proxyprofil.

  1. Konfigurieren Sie die Domäne im Adressbuch.
  2. Geben Sie die globale Adressbuchadresse im SSL-Proxyprofil an.

Erstellen einer Allowlist für befreite URL-Kategorien für SSL-Proxy

Sie können die im UTM-Modul unterstützten URL-Kategorien so konfigurieren, dass sie auf Geräten der SRX-Serie von der SSL-Prüfung ausgenommen sind. Zur Verwendung von URL-Kategorien aus UTM integriert das Gerät der SRX-Serie das SSL-Proxyprofil in die EWF-Funktion. Damit können Sie jetzt eine Liste von URL-Kategorien unter einem SSL-Proxyprofil als Allowlist zusammen mit Adressbüchern konfigurieren. Sie können die Liste aus den vordefinierten URL-Kategorien oder benutzerdefinierten URL-Kategorien konfigurieren, die von UTM unterstützt werden.

Das Sicherheitsgerät verwendet das vom UTM-Modul extrahierte Feld "Server Name Indication" (SNI), um die URL-Kategorie zu bestimmen. Der SSL-Proxy verwendet diese Informationen, um zu bestimmen, ob die Sitzung akzeptiert und proxyt oder ignoriert wird.

Diese Funktion wird auf SRX340-, SRX345-, SRX5400-, SRX5600-, SRX5800- und vSRX-Instanzen unterstützt.

Ab Junos OS Version 15.1X49-D80 und Junos OS Version 17.3R1 umfasst die SSL-Proxy-Allowlisting-Funktion URL-Kategorien, die von UTM unterstützt werden.

Ab Junos OS Version 17.4R1 erweitert die SSL-Proxy-Allowlisting-Funktion die Unterstützung auf benutzerdefinierte URL-Kategorien, die von UTM unterstützt werden.

Die folgenden Beispiele zeigen, wie Sie die URL-Kategorien im SSL-Proxyprofil konfigurieren:

Erstellen einer Zulassensliste von befreiten URL-Kategorien

Gehen Sie wie folgt vor, um die vordefinierten URL-Kategorien in einem SSL-Proxyprofil zu konfigurieren.

  1. Die vordefinierten URL-Kategorien sind von der UTM abhängig. Um die URL-basierte Allowlisting in SSL-Proxy zu aktivieren, sind die folgenden grundlegenden URL-Konfigurationen erforderlich:
  2. Geben Sie die vordefinierte URL-Kategorie im SSL-Proxyprofil an. In diesem Beispiel verwenden Sie die URL-Kategorie Enhanced_Financial_Data_and_Services.
  3. Erstellen Sie die Sicherheitsrichtlinie, indem Sie die Übereinstimmungsbedingungen angeben, und fügen Sie die UTM-Richtlinie der Sicherheitsrichtlinie an, um URL-Kategorien in der SSL-Allowlist zu verwenden.

Erstellen einer Zulassensliste von befreiten benutzerdefinierten URL-Kategorien

Verwenden Sie die folgenden Schritte, um benutzerdefinierte URL-Kategorien in einem SSL-Proxyprofil zu konfigurieren.

  1. Erstellen Sie eine benutzerdefinierte URL-Kategorie. 

    [edit]
user@host# set security utm custom-objects url-pattern URL-1 value www.example.com 
user@host# set security utm custom-objects custom-url-category CATEGORY-1 value URL-1
user@host#  set security utm feature-profile web-filtering juniper-local profile PROFILE-1 category CATEGORY-1 action permit

  2. Konfigurieren Sie eine UTM-Richtlinie für das Webfilterungs-HTTP-Protokoll und zuordnen Sie das Profil, das Sie im vorherigen Schritt erstellt haben, der UTM-Richtlinie.
  3. Geben Sie die benutzerdefinierte URL-Kategorie an, die Sie im vorherigen Schritt im SSL-Proxyprofil erstellt haben.
  4. Erstellen Sie eine Sicherheitsrichtlinie, indem Sie die Übereinstimmungsbedingungen angeben, und fügen Sie die UTM-Richtlinie der Sicherheitsrichtlinie an, um URL-Kategorien in der SSL-Allowlist zu verwenden.

Ähnliche Dokumentation

Tabelle "Versionshistorie"
Release
Beschreibung
17,4R1
Ab Junos OS Version 17.4R1 erweitert die SSL-Proxy-Allowlisting-Funktion die Unterstützung auf benutzerdefinierte URL-Kategorien, die von UTM unterstützt werden.
15.1X49-D80
Ab Junos OS Version 15.1X49-D80 und 17.3R1 wird SSL Reverse Proxy auf Geräten der SRX5000-Serie, SRX4100, SRX4200, SRX1500 unterstützt
15.1X49-D80
Ab Junos OS Version 15.1X49-D80 und 17.3R1 empfehlen wir die Verwendung des SSL Reverse Proxy und intrusion Detection and Prevention (IDP) anstelle der IDP-SSL-Überprüfungsfunktionen.
15.1X49-D80
Ab Junos OS 15.1X49-D80 und 17.3R1 ist die IDP SSL Inspection veraltet – und nicht sofort entfernt –, um Abwärtskompatibilität zu gewährleisten und die Möglichkeit zu bieten, Ihre Konfiguration mit der neuen Konfiguration in Einklang zu bringen.
15.1X49-D80
Ab Junos OS Version 15.1X49-D80 und Junos OS Version 17.3R1 umfasst die SSL-Proxy-Allowlisting-Funktion URL-Kategorien, die von UTM unterstützt werden.