Ajouter un profil de proxy SSL

Nom

Entrez le nom du profil de proxy SSL.

La chaîne doit contenir des caractères alphanumériques, des deux-points, des points, des tirets et des traits de soulignement. Aucun espace n’est autorisé ; La longueur maximale est de 63 caractères.

Chiffrement préféré

Spécifie le chiffrement en fonction de la force de la clé. Sélectionnez un chiffrement préféré dans la liste :

• Moyen : utilisez des chiffrements avec une force de clé de 128 bits ou plus.

• Strong : utilisez des chiffrements avec une force de clé de 168 bits ou plus.

• Faible : utilisez des chiffrements avec une force de clé de 40 bits ou plus.

• Personnalisé : configurez une suite de chiffrement personnalisée et un ordre de préférence.

Chiffrement personnalisé

Spécifie l’ensemble des chiffrements que le serveur SSH peut utiliser pour exécuter les fonctions de chiffrement et de déchiffrement. Si cette option n’est pas configurée, le serveur accepte toute suite prise en charge disponible.

Sélectionnez l’ensemble de chiffrements dans la liste :

1. rsa-with-RC4-128-md5 : RSA, hachage RC4 128 bits, MD5

2. rsa-with-RC4-128-sha : RSA, RC4 128 bits, hachage SHA

3. rsa-with-des-cbc-sha—RSA, DES/CBC, hachage SHA

4. rsa-with-3DES-ede-cbc-sha—RSA, 3DES EDE/CBC, hachage SHA

5. rsa-with-aes-128-cbc-sha : RSA, AES/CBC 128 bits, hachage SHA

6. rsa-with-aes-256-cbc-sha : RSA, AES/CBC 256 bits, hachage SHA

7. rsa-export-with-rc4-40-md5 : rsa-export, hachage RC4 40 bits, MD5

8. rsa-export-with-des40-cbc-sha—RSA-export, 40 bits DES/CBC, HACHAGE SHA

9. rsa-with-aes-256-gcm-sha384 : RSA, AES/GCM 256 bits, hachage SHA384

10. rsa-with-aes-256-cbc-sha256 : RSA, AES/CBC 256 bits, hachage SHA256

11. rsa-with-aes-128-gcm-sha256 : RSA, AES/GCM 128 bits, hachage SHA256

12. rsa-with-aes-128-cbc-sha256 : RSA, AES/CBC 256 bits, hachage SHA256

13. ecdhe-rsa-with-aes-256-gcm-sha384 : ECDHE, RSA, AES/GCM 256 bits, hachage SHA384

14. ecdhe-rsa-with-aes-256-cbc-sha : ECDHE, RSA, AES/CBC 256 bits, hachage SHA

15. ecdhe-rsa-with-aes-256-cbc-sha384 : ECDHE, RSA, hachage AES/CBC 256 bits, SHA384

16. ecdhe-rsa-with-aes-3des-ede-cbc-sha—ECDHE, RSA, 3DES, EDE/CBC, HACHAGE SHA

17. ecdhe-rsa-with-aes-128-gcm-sha256 : ECDHE, RSA, AES/GCM 128 bits, hachage SHA256

18. ecdhe-rsa-with-aes-128-cbc-sha : ECDHE, RSA, AES/CBC 128 bits, hachage SHA

19. ecdhe-rsa-with-aes-128-cbc-sha256 : ECDHE, RSA, hachage AES/CBC 128 bits, SHA256

Suivi des flux

Cochez la case pour activer le suivi de flux pour résoudre les problèmes liés à la stratégie. Sinon, laissez-le vide.

Type de certificat

Spécifie si le certificat que vous souhaitez associer à ce profil est un certificat d’AC racine ou de serveur. Le certificat de serveur est utilisé pour le proxy inverse SSL. Si vous choisissez un certificat de serveur, les options de défaillance de l’AC, de la CRL et de l’authentification serveur approuvées ne seront pas disponibles. Pour le profil de proxy de transfert, choisissez l’AC racine

Dans une hiérarchie d’infrastructure à clé publique (PKI), l’AC racine se trouve en haut du chemin d’approbation. L’AC racine identifie le certificat du serveur comme un certificat approuvé.

Certificat

Sélectionnez le certificat que vous souhaitez associer à ce profil de proxy SSL dans la liste.

Spécifie le certificat que vous avez créé sur la page Administration > Gestion des certificats de J-Web. Dans une hiérarchie d’infrastructure à clé publique (PKI), l’AC est en haut du chemin d’approbation. L’AC identifie le certificat du serveur comme un certificat approuvé.

Autorités de certification de confiance

Sélectionnez l’AC de confiance disponible sur l’appareil parmi les options suivantes : Tous, Aucun, Sélectionner spécifique.

Si vous choisissez Sélectionner spécifique, vous devez sélectionner les autorités de certification dans la colonne Disponible et les déplacer vers la colonne Sélectionné.

Adresses exemptées

Spécifie les adresses pour créer des listes blanches qui contournent le traitement du proxy de transfert SSL.

Sélectionnez les adresses dans la colonne Disponible et déplacez-la dans la colonne Sélectionné.

Le chiffrement et le déchiffrement SSL étant des procédures compliquées et coûteuses, les administrateurs réseau peuvent choisir de contourner le traitement par proxy SSL pour certaines sessions. Ces sessions incluent généralement des connexions et des transactions avec des serveurs ou des domaines de confiance que les administrateurs réseau connaissent très bien. Il existe également des exigences légales pour exempter les sites financiers et bancaires. Ces exemptions sont obtenues en configurant les adresses IP ou les noms de domaine des serveurs sous des listes blanches.

Catégories d’URL exemptées

Spécifie les catégories d’URL pour créer des listes blanches qui contournent le traitement du proxy de transfert SSL.

Sélectionnez des catégories d’URL dans la colonne Disponible et déplacez-la dans la colonne Sélectionné.

Ces catégories d’URL sont exemptées lors de l’inspection SSL. Seules les catégories d’URL prédéfinies peuvent être sélectionnées pour l’exemption.

Échec d’authentification serveur

Cochez la case pour ignorer complètement l’authentification du serveur.

Dans ce cas, le proxy de transfert SSL ignore les erreurs rencontrées pendant le processus de vérification des certificats du serveur (telles que l’échec de la vérification de la signature de l’AC, les certificats auto-signés et l’expiration du certificat).

Nous ne recommandons pas cette option pour l’authentification, car sa configuration entraîne l’absence d’authentification des sites Web. Toutefois, vous pouvez utiliser cette option pour identifier efficacement la cause racine de l’interruption de sessions SSL.

Reprise de session

Cochez la case si vous ne souhaitez pas reprendre la session.

Pour améliorer le débit tout en maintenant un niveau de sécurité approprié, la reprise de session SSL fournit un mécanisme de mise en cache de session afin que les informations de session, telles que la clé secrète pré-maître et les chiffrements convenus, puissent être mises en cache pour le client et le serveur.

Journalisation

Sélectionnez une option dans la liste pour générer des journaux.

Vous pouvez choisir de consigner tous les événements, avertissements, informations, erreurs ou différentes sessions (sur liste blanche, autorisées, abandonnées ou ignorées).

Renégociation

Une fois qu’une session est créée et que le transport de tunnel SSL a été établi, toute modification des paramètres SSL doit être renégociée. Le proxy de transfert SSL prend en charge la renégociation sécurisée (RFC 5746) et non sécurisée (TLS v1.0 et SSL v3).

Vous pouvez spécifier si vous souhaitez autoriser la renégociation non sécurisée, autoriser la renégociation sécurisée ou abandonner la renégociation.

Lorsque la reprise de session est activée, la renégociation de session est utile dans les situations suivantes :

• Les clés de chiffrement doivent être actualisées après une session SSL prolongée.

• Des algorithmes plus forts doivent être appliqués pour une connexion plus sécurisée.

Sélectionnez cette option si une modification des paramètres SSL nécessite une renégociation. Les options sont les suivantes : Aucun (sélectionné par défaut), Autoriser, Autoriser-sécuriser et Supprimer.

Révocation de certificat

Cochez la case si vous souhaitez révoquer le certificat.

Si les informations CRL ne sont pas présentes

Spécifie si vous souhaitez autoriser ou supprimer si les informations CRL ne sont pas présentes.

Sélectionnez les actions suivantes dans la liste si les informations CRL ne sont pas présentes : Autoriser la session, Supprimer la session ou Aucune.

Maintenir le code d’instruction

Sélectionnez Ignorer si vous souhaitez garder le code d’instruction en attente.

Interface utilisateur

Sélectionnez une interface de mise en miroir de port de déchiffrement SSL dans la liste. Il s’agit d’une interface Ethernet sur le pare-feu SRX Series par laquelle la copie du trafic SSL déchiffré est transférée vers un port miroir.

Seulement après l’application des stratégies de sécurité

Cochez la case pour activer le transfert de la copie du trafic déchiffré vers le collecteur de trafic du miroir externe après avoir appliqué les services de sécurité de couche 7 par le biais d’une stratégie de sécurité.

Adresse MAC

Entrez l’adresse MAC du port collecteur de trafic du miroir externe.