CSOでのSSLプロキシポリシーの設定と導入

証明書名

証明書名を入力します。これは、英数字といくつかの特殊文字(_ -)の一意の文字列である必要があります。スペースは使用できません。最大長は 32 文字です。

証明書の種類

インポートする証明書がルート証明書 (ルート CA) か信頼できる証明書 (信頼された CA) かを指定するオプションを選択します。

パスフレーズ

プライバシー拡張メール(PEM)証明書ファイルの秘密キーまたはキーペアを保護するパスフレーズを入力します。

説明

証明書の説明を入力します。

証明書の内容

ファイルから証明書コンテンツをインポートするか、証明書コンテンツを貼り付けるかを選択します。

証明書のファイルパス

ファイルから証明書の内容をインポートするには、[ 参照] をクリックします。表示される [ファイルのアップロード] ダイアログで、証明書ファイルを選択し、[ 開く] をクリックします。

アップロードしたファイルのファイル名が表示されます。

証明書の内容の貼り付け

証明書の内容をファイルから直接貼り付けるには、テキスト エディターで証明書ファイルを開き、証明書の内容をコピーして、テキスト ボックスに貼り付けます。

一般情報

名前

プロファイルの一意の名前を入力します。プロファイルには、英数字、ハイフン、アンダースコアを含めることができます。スペースは使用できません。最大長は 63 文字です。

説明

プロファイルの説明を入力します。最大長は 255 文字です。

優先暗号

優先暗号を選択すると、許容可能な鍵強度で使用できる SSL 暗号を定義できます。

• なし (デフォルト):優先暗号を指定しません。

• 中 - キー強度が 128 ビット以上の暗号を使用します。

• [強力(Strong)]:キー強度が 168 ビット以上の暗号方式を使用します。

• 弱い - 鍵強度が 40 ビット以上の暗号を使用します。

• カスタム:カスタム暗号スイートを設定します。

カスタム暗号

カスタム優先暗号を指定した場合は、SSH サーバーが暗号化および復号化機能を実行するために使用できる 1 つ以上の暗号を選択することで、カスタム暗号リストを定義できます。

• なし:暗号化なし。

• rsa-with-RC4-128-md5—RSA、128 ビット RC4、MD5 ハッシュ

• rsa-with-RC4-128-sha—RSA、128-bit RC4、SHA ハッシュ

• rsa-with-des-cbc-sha—RSA、DES/CBC、SHA ハッシュ

• rsa-with-3DES-ede-cbc-sha—RSA、3DES EDE/CBC、SHA ハッシュ

• rsa-with-aes-128-cbc-sha - RSA、128 ビット AES/CBC、SHA ハッシュ

• rsa-with-aes-256-cbc-sha—RSA、256 ビット AES/CBC、SHA ハッシュ

• rsa-export-with-rc4-40-md5—RSAエクスポート、40ビットRC4、MD5ハッシュ

• rsa-export-with-des40-cbc-sha—RSA export、40 ビット DES/CBC、SHA ハッシュ

• rsa-export1024-with-des-cbc-sha:RSA 1024 ビット エクスポート、DES/CBC、SHA ハッシュ

• rsa-export1024-with-rc4-56-md5:RSA 1024 ビット エクスポート、56 ビット RC4、MD5 ハッシュ

• rsa-export1024-with-rc4-56-sha:RSA 1024 ビット エクスポート、56 ビット RC4、SHA ハッシュ

• rsa-with-aes-256-gcm-sha384—RSA、256 ビット AES/GCM、SHA384 ハッシュ

• rsa-with-aes-256-cbc-sha256—RSA、256 ビット AES/CBC、SHA256 ハッシュ

• rsa-with-aes-128-gcm-sha256—RSA、128 ビット AES/GCM、SHA256 ハッシュ

• rsa-with-aes-128-cbc-sha256—RSA、256 ビット AES/CBC、SHA256 ハッシュ

• ecdhe-rsa-with-aes-256-gcm-sha384—ECDHE、RSA、256 ビット AES/GCM、SHA384 ハッシュ

• ecdhe-rsa-with-aes-256-cbc-sha384—ECDHE、RSA、256 ビット AES/CBC、SHA384 ハッシュ

• ecdhe-rsa-with-aes-256-cbc-sha—ECDHE、RSA、256 ビット AES/CBC、SHA ハッシュ

• ecdhe-rsa-with-aes-3des-ede-cbc-sha—ECDHE、RSA、3DES、EDE/CBC、SHA ハッシュ

• ecdhe-rsa-with-aes-128-gcm-sha256—ECDHE、RSA、128 ビット AES/GCM、SHA256 ハッシュ

• ecdhe-rsa-with-aes-128-cbc-sha256—ECDHE、RSA、128 ビット AES/CBC、SHA256 ハッシュ

• ecdhe-rsa-with-aes-128-cbc-sha—ECDHE、RSA、128 ビット AES/CBC、SHA ハッシュ

フロートレース

トグル ボタンをクリックしてフロー トレースを有効にし、ポリシー関連の問題のトラブルシューティングを有効にします。フロー トレースはデフォルトで無効になっています。

ルート証明書

リストからルート証明書を選択するか、[ルート証明書の追加] をクリックしてルート証明書をインポートします。

公開キー基盤 (PKI) 階層では、ルート証明機関 (CA) が信頼パスの最上位にあります。

信頼できる認証局

デバイスに存在するすべての信頼できる証明書を追加するか (すべて)、特定の信頼できる証明書を選択するか ([特定を選択]) を選択します。セキュアな接続を確立する前に、SSL プロキシーは CA 証明書をチェックして、サーバー証明書の署名を検証します。

選択した信頼できる証明書の追加を選択した場合は、既存の信頼できる証明書が表示されます。チェック ボックスをオンにして 1 つ以上の証明書を選択し、[ > ] アイコンをクリックします。選択した証明書が右側の列に表示されます。

必要に応じて、[ 信頼できる証明書の追加 ] をクリックして、信頼できる証明書をインポートします。 「証明書のインポート」を参照してください。

適用除外アドレス

除外アドレスには、SSL プロキシ処理の対象から除外するアドレスが含まれます。

除外する宛先を指定するには、左側の列で1つ以上の住所を選択し 、[> ]アイコンをクリックして選択を確定します。選択したアドレスが右側の列に表示されます。これらのアドレスは、SSL フォワードプロキシ処理をバイパスする許可リストを作成するために使用されます。

SSL の暗号化と復号化は複雑でコストのかかる手順であるため、ネットワーク管理者は一部のセッションで SSL プロキシ処理を選択的にバイパスできます。

このようなセッションには、通常、ネットワーク管理者に精通している信頼できるサーバーまたはドメインとの接続とトランザクションが含まれます。金融および銀行のサイトを免除するための法的要件もあります。このような除外は、許可リストの下でサーバーの IP アドレスまたはドメイン名を構成することによって実現されます。

除外URLカテゴリ

左側の列で以前に定義した URL カテゴリを 1 つ以上選択し 、[> ] アイコンをクリックして選択を確定します。選択したアドレスが右側の列に表示されます。

これらの URL カテゴリは、SSL フォワードプロキシ処理をバイパスする許可リストを作成するために使用されます。選択した URL カテゴリは、SSL インスペクションから除外されます。

アクション

サーバー認証エラー

切り替えボタンをクリックして、CA 署名検証の失敗、自己署名証明書、証明書の有効期限など、サーバー証明書の検証プロセス中に発生したエラーを CSO が無視できるようにします。このトグル ボタンは既定で無効になっているため、サーバー認証エラーは無視されません。

認証エラーを無視すると、Web サイトがまったく認証されないため、無視することはお勧めしません。ただし、このオプションを使用すると、SSL セッションがドロップされる根本原因を効果的に特定できます。

セッションの再開

トグルボタンをクリックして、セッションの再開を有効にします。セッション再開はデフォルトで無効になっています。

スループットを向上させながら、適切なレベルのセキュリティーを維持するために、SSL セッション再開はセッション・キャッシング・メカニズムを提供し、事前マスター秘密鍵や合意された暗号などのセッション情報をクライアントとサーバーの両方でキャッシュすることができます。

ログ

ログに記録する 1 つ以上のイベントを選択します。すべてのイベント、警告、一般情報、エラー、または異なるセッション (許可、ドロップ、または無視) をログに記録することを選択できます。

既定では、イベントはログに記録されません。

交渉

SSL パラメーターの変更で再ネゴシエーションが必要な場合は、以下のいずれかのオプションを選択します。

• なし:再ネゴシエーションは必要ありません。これは既定の設定です。

• 許可 - セキュアおよび非セキュアで再ネゴシエーションできます。

• セキュア許可 - セキュアネゴシエーションのみを許可します。

• ドロップ:再ネゴシエーション要求時にセッションをドロップします。

セッションが作成され、SSL トンネル トランスポートが確立された後、SSL パラメーターの変更には再ネゴシエーションが必要です。SSL フォワード プロキシは、セキュア(RFC 5746)と非セキュア(TLS v1.0 および SSL v3)の両方の再ネゴシエーションをサポートします。

セッション再開が有効になっている場合、セッションの再ネゴシエーションは以下の状況で有効です。

• 暗号鍵は、長時間の SSL セッションの後にリフレッシュする必要があります。

• より安全な接続には、より強力な暗号を適用する必要があります。

[名前]

最初のテキスト ボックスに SSL プロキシ ポリシー インテントの名前を入力します。名前を入力しない場合は、システムによって生成された名前が使用されます。入力する名前は英数字で始まる必要があり、英数字と一部の特殊文字 (- _) を含めることができます。最大長は 63 文字です。

[説明]

2 番目のテキスト ボックスに SSL プロキシ ポリシー インテントの説明を入力します。

ソース

次のソースエンドポイントを 1 つ以上選択します。

• IP アドレスまたは IP アドレス グループ

• サイト

• サイトグループ

• 担当部署

SSLプロキシポリシーインテントのデフォルトソースは [すべてのサイト]です。ソースを追加しない場合は、デフォルトが使用されます。

先

次の宛先エンドポイントを 1 つ以上選択します。

• IP アドレスまたはアドレス グループ

• サイト

• サイトグループ

• 担当部署

SSLプロキシー・ポリシー・インテントのデフォルトの宛先は インターネットです。宛先を追加しない場合は、デフォルトが使用されます。

SSL プロキシ プロファイル

以下のいずれかの方法で、SSLプロキシー・ポリシー・インテントに関連付けるSSLプロキシー・プロファイルを指定します:

• 追加アイコン(+)をクリックし、以前に構成したプロファイルのリストから SSL プロキシー・プロファイルを選択します。

• SSL プロキシ プロファイル フィールドに検索語を入力してプロファイルをフィルタリングし、プロファイルを選択します。

• SSL プロキシ プロファイルの追加: [新しいプロファイルの追加(Add New Profile )] リンクをクリックします。 SSL フォワード プロキシ プロファイルの追加を参照してください。

• [ その他の結果の表示 ] リンクをクリックして、追加の構成済みプロファイルを表示します。SSL プロキシー・プロファイルのリストが、右側の 「エンドポイント 」パネルに表示されます。

  プロファイルを追加するには、プロファイルを選択し、プロファイルにカーソルを合わせたときに表示されるチェックマークアイコン(✓)をクリックします。