SSL 프록시

SSL 프록시는 어떻게 작동합니까?

SSL 프록시는 다음과 같은 조합을 통해 클라이언트와 서버 간에 안전한 데이터 전송을 제공합니다.

• 인증 서버 인증은 웹 브라우저가 웹 서버의 ID를 검증할 수 있도록 하여 부정 전송으로부터 보호합니다.

• 기밀성 - SSL은 데이터를 암호화하여 권한이 없는 사용자가 전자 통신을 도청하는 것을 방지하여 기밀성을 강화합니다. 따라서 통신의 프라이버시를 보장합니다.

• 무결성- 메시지 무결성은 통신 내용이 변조되지 않도록 보장합니다.

SSL 프록시 역할을 하는 SRX 시리즈 방화벽은 한쪽 끝에서 클라이언트와 다른 끝에서 서버 간의 SSL 연결을 관리하고 다음 작업을 수행합니다.

• 클라이언트와 SRX 시리즈 간의 SSL 세션 - SSL 세션이 클라이언트에서 서버로 시작되면 클라이언트의 SSL 연결을 종료합니다. SRX 시리즈 방화벽은 트래픽을 복호화하고 공격(양방향)을 검사한 다음 클라이언트를 대신하여 서버에 대한 연결을 시작합니다.

• 서버와 SRX 시리즈 간의 SSL 세션 - 외부 서버에서 로컬 서버로 SSL 세션이 시작되면 서버의 SSL 연결을 종료합니다. SRX 시리즈 방화벽은 클라이언트로부터 일반 텍스트를 수신하고 데이터를 암호화하여 SSL 서버로 암호문으로 전송합니다. 다른 한편으로, SRX 시리즈는 SSL 서버의 트래픽을 복호화하고 공격 여부를 검사한 다음 데이터를 일반 텍스트로 클라이언트에 보냅니다.

• 암호화된 트래픽을 검사할 수 있습니다.

SSL 프록시 서버는 암호화 기술을 통해 데이터의 안전한 전송을 보장합니다. SSL은 인증서 및 개인-공개 키 교환 쌍에 의존하여 안전한 통신을 제공합니다. 자세한 정보는 SSL 인증서를 참조하십시오.

SRX 시리즈 방화벽과 클라이언트/서버 간의 SSL 세션을 설정하고 유지하기 위해 SRX 시리즈 방화벽은 수신하는 트래픽에 보안 정책을 적용합니다. 트래픽이 보안 정책 기준과 일치하면 SSL 프록시가 보안 정책 내의 애플리케이션 서비스로 활성화됩니다.

애플리케이션 보안 서비스가 포함된 SSL 프록시

그림 1은 SSL 프록시가 암호화된 페이로드에서 작동하는 방식을 보여줍니다.

그림 1: 암호화된 페이로드 의 SSL 프록시

애플리케이션 방화벽(AppFW), 침입 탐지 및 방지(IDP), 애플리케이션 추적(AppTrack), 컨텐츠 보안, ATP 클라우드와 같은 고급 보안 서비스가 구성된 경우 SSL 프록시는 클라이언트에서 SSL 세션을 종료하고 서버에 대한 새 SSL 세션을 설정하여 SSL 서버 역할을 합니다. SRX 시리즈 방화벽은 모든 SSL 프록시 트래픽을 복호화한 다음 다시 암호화합니다.

IDP, AppFW, AppTracking, 고급 정책 기반 라우팅(APBR), 콘텐츠 보안, ATP 클라우드 및 ICAP 서비스 리디렉션은 SSL 프록시에서 복호화된 콘텐츠를 사용할 수 있습니다. 이러한 서비스 중 어느 것도 구성되지 않은 경우 SSL 프록시 프로필이 방화벽 정책에 연결되어 있더라도 SSL 프록시 서비스는 무시됩니다.

SSL 프록시를 구현하면 AppID는 SSL로 암호화된 애플리케이션을 식별할 수 있습니다. SSL 프록시는 일반 방화벽 정책 규칙에서 애플리케이션 서비스로 사용할 수 있습니다. 침입 탐지 및 방지(IDP), 애플리케이션 방화벽(AppFW), 애플리케이션 추적(AppTrack), 고급 정책 기반 라우팅(APBR) 서비스, 콘텐츠 보안, ATP 클라우드 및 보안 인텔리전스(SecIntel)는 SSL 프록시에서 복호화된 콘텐츠를 사용할 수 있습니다.

기능이 특정 플랫폼 또는 Junos OS 릴리스에서 지원되는지 확인하려면 기능 탐색기를 참조하십시오

SSL 페이로드에서 IDP는 공격과 이상을 검사할 수 있습니다. 예를 들어 HTTPS의 HTTP 청크 길이 오버플로입니다. Facebook과 같은 암호화된 애플리케이션에서 AppFW는 정책을 시행할 수 있으며 AppTrack(시작 및 종료 영역에서 구성된 경우)은 동적 애플리케이션을 기반으로 로깅 문제를 보고할 수 있습니다.

동적 애플리케이션 식별 활용

SSL 프록시는 애플리케이션 식별 서비스를 사용하여 특정 세션이 SSL로 암호화되었는지 동적으로 감지합니다. SSL 프록시는 세션이 SSL로 암호화된 경우에만 허용됩니다. 세션에는 다음 규칙이 적용됩니다.

• 세션이 애플리케이션 시스템 캐시에 표시됩니다 Encrypted=Yes . 세션이 표시 Encrypted=Yes되면 해당 세션에 대한 애플리케이션 ID의 최종 일치가 SSL로 암호화되고 SSL 프록시가 프록시 기능을 시작할 수 있는 상태로 전환됨을 나타냅니다.

• 세션이 애플리케이션 시스템 캐시에 표시됩니다 Encrypted=No . 애플리케이션 시스템 캐시에서 비SSL 항목이 발견되면 해당 세션에 대한 애플리케이션 ID의 최종 일치가 SSL이 아니며 SSL 프록시가 세션을 무시함을 나타냅니다.

• 애플리케이션 시스템 캐시에서 항목을 찾을 수 없습니다. 이 문제는 첫 번째 세션에서 또는 애플리케이션 시스템 캐시가 정리되었거나 만료되었을 때 발생할 수 있습니다. 이러한 시나리오에서 SSL 프록시는 최종 일치를 기다릴 수 없습니다(양방향 트래픽 필요). SSL 프록시에서 역방향 트래픽은 SSL 프록시가 SSL 핸드셰이크를 시작한 경우에만 발생합니다. 처음에 이러한 시나리오의 경우 SSL 프록시는 애플리케이션 식별의 사전 일치 또는 적극적인 일치 결과를 활용하려고 시도하고 결과가 SSL을 나타내는 경우 SSL 프록시는 핸드셰이크를 진행합니다.

• 리소스 제약 및 기타 오류로 인해 애플리케이션 식별이 실패합니다. 애플리케이션 식별 결과를 사용할 수 없을 때마다 SSL 프록시는 정적 포트 바인딩을 가정하고 세션에서 SSL 핸드셰이크를 시작하려고 시도합니다. 이것은 실제 SSL 세션에 대해 성공하지만 비SSL 세션에 대한 세션이 손실됩니다.

SSL 프록시의 유형

SSL 프록시는 클라이언트와 서버 간에 SSL 암호화 및 복호화를 수행하는 투명한 프록시입니다. SRX는 클라이언트의 관점에서 서버 역할을 하며 서버의 관점에서 클라이언트 역할을 합니다. SRX 시리즈 방화벽에서 클라이언트 보호(포워드 프록시) 및 서버 보호(리버스 프록시)는 동일한 에코 시스템 SSL-T-SSL[클라이언트 측의 터미네이터] 및 SSL-I-SSL[서버 측의 개시자]를 사용하여 지원됩니다.

SRX 시리즈 방화벽은 다음과 같은 유형의 SSL 프록시를 지원합니다.

• 클라이언트 보호 SSL 프록시, 포워드 프록시라고도 함 - SRX 시리즈 방화벽은 내부 클라이언트와 외부 서버 사이에 있습니다. 아웃바운드 세션, 즉 로컬에서 시작된 SSL 세션을 인터넷에 프록시합니다. 내부 사용자에서 웹으로 전송되는 트래픽을 해독하고 검사합니다.

• 역방향 프록시라고도 하는 서버 보호 SSL 프록시 - SRX 시리즈 방화벽은 내부 서버와 외부 클라이언트 사이에 위치합니다. 인바운드 세션, 즉 인터넷에서 로컬 서버로 외부에서 시작된 SSL 세션을 프록시합니다.

SSL 포워드 프록시 및 리버스 프록시에 대한 자세한 정보는 SSL 프록시 구성을 참조하십시오.

지원되는 SSL 프로토콜

SSL 시작 및 종료 서비스를 위해 SRX 시리즈 방화벽에서 지원되는 SSL 프로토콜은 다음과 같습니다.

• TLS 버전 1.2 — 이 향상된 버전의 TLS는 암호화 알고리즘 협상을 위한 향상된 유연성을 제공합니다.

• TLS 버전 1.3 — 이 향상된 버전의 TLS는 향상된 보안과 성능을 제공합니다.

최근 Junos OS 릴리스에서 TLS 1.0 및 TLS 1.1 프로토콜 버전은 이전 버전과의 호환성을 제공하고 구성이 새로운 구성과 호환되도록 하기 위해 즉시 제거되기 않고 SSL 프록시용으로 더 이상 사용되지 않습니다.

TLS 1.3을 사용하는 경우 SRX 시리즈 방화벽은 서버와의 연결을 설정하기 위한 키 교환을 위해 secp256r1 그룹을 지원합니다. 서버가 secp384r1만 지원하는 경우 연결이 종료됩니다.

SRX 시리즈 방화벽은 SSL 시작(SSL-I) 프로세스를 위한 SNI를 지원합니다. SNI(Server Name Indication)는 SSL/TLS 헤더의 확장으로, SSL 핸드셰이크가 완료되기 전에 HTTPS "Client Hello" 교환 중에 대상 서버의 호스트 이름을 일반 텍스트로 전달합니다.

SSL 프록시의 이점

• SSL 트래픽을 해독하여 세분화된 애플리케이션 정보를 획득하고 고급 보안 서비스 보호를 적용하고 위협을 탐지할 수 있도록 합니다.

• 클라이언트와 서버에서 강력한 프로토콜과 암호를 사용하도록 강제합니다.

• SSL 암호화 트래픽에 내장된 위협에 대한 가시성 및 보호 기능을 제공합니다.

• 선택적 SSL 프록시를 사용하여 해독해야 하는 항목을 제어합니다.

논리적 시스템 지원

논리적 시스템을 사용하여 구성된 방화벽 정책에서 SSL 프록시를 사용하도록 설정할 수 있습니다. 그러나 다음과 같은 제한 사항에 유의하십시오.

• "서비스" 범주는 현재 논리적 시스템 구성에서 지원되지 않습니다. SSL 프록시는 "서비스" 아래에 있으므로 논리적 시스템별로 SSL 프록시 프로필을 구성할 수 없습니다.

• 글로벌 수준("서비스 SSL 프록시" 내)에서 구성된 프록시 프로필은 논리적 시스템 구성 전반에서 볼 수 있으므로 글로벌 수준에서 프록시 프로필을 구성한 다음 하나 이상의 논리적 시스템의 방화벽 정책에 연결할 수 있습니다.

제한 사항

모든 SRX 시리즈 방화벽에서 현재 SSL 프록시 구현에는 다음과 같은 연결 제한이 있습니다.

• SSLv3.0 프로토콜 지원은 더 이상 사용되지 않습니다.

• SSLv2 프로토콜은 지원되지 않습니다. SSLv2를 사용하는 SSL 세션이 삭제됩니다.

• X.509v3 인증서만 지원됩니다.

• SSL 핸드셰이크의 클라이언트 인증은 지원되지 않습니다.

• 클라이언트 인증서 인증이 필수인 SSL 세션은 삭제됩니다.

• 재협상이 요청된 SSL 세션은 삭제됩니다.

• SRX 시리즈 방화벽에서는 특정 세션의 경우 SSL 트래픽과 관련된 관련 기능도 활성화된 경우에만 SSL 프록시가 활성화됩니다. SSL 트래픽과 관련된 기능은 IDP, 애플리케이션 식별, 애플리케이션 방화벽, 애플리케이션 추적, 고급 정책 기반 라우팅, 콘텐츠 보안, ATP 클라우드 및 ICAP 리디렉션 서비스입니다. 세션에서 이러한 기능이 활성화되지 않은 경우 SSL 프록시는 세션을 우회하고 이 시나리오에서는 로그가 생성되지 않습니다.
• 멀티노드 고가용성 설정에서 작동하는 SRX 시리즈 방화벽은 SSL 프록시 기능을 지원하지 않습니다.