논리적 시스템에 대한 SSL 프록시
SSL(Secure Sockets Layer)은 인터넷을 위한 암호화 기술을 제공하는 애플리케이션 수준 프로토콜입니다. 자세한 내용은 다음 주제를 참조하십시오.
논리적 시스템에 대한 SSL 포워드 및 역방향 프록시 이해
SSL 프록시는 클라이언트와 서버 간의 SSL 암호화 및 복호화 작업을 수행하는 중개자 역할을 합니다. TLS(전송 레이어 Security)라고도 하는 SSL은 개인 정보 보호, 인증, 기밀성 및 데이터 무결성의 조합을 통해 클라이언트와 서버 간의 안전한 데이터 전송을 보장합니다.
SSL 프록시는 다음과 같이 클라이언트와 서버 간의 SSL 암호화 및 복호화 작업을 수행하는 투명 프록시입니다.
역방향 프록시는 인바운드 세션, 즉 인터넷에서 로컬 서버로 외부적으로 시작된 SSL 세션입니다.
서버 보호를 위한 프록시 모델 구현(종종 역방향 프록시라고도 함)은 향상된 핸드셰이킹과 더 많은 프로토콜 버전에 대한 지원을 제공하기 위해 SRX 시리즈 방화벽에서 지원됩니다.
포워드 프록시는 아웃바운드 세션, 즉 로컬에서 시작된 인터넷 SSL 세션입니다.
SSL 프록시는 클라이언트와 서버 간에 투명하게 작동합니다. 클라이언트의 모든 요청은 먼저 프록시 서버로 이동합니다. 프록시 서버는 요청을 평가하고 요청이 유효한 경우 요청을 아웃바운드 측으로 전달합니다. 마찬가지로 인바운드 요청도 프록시 서버에서 평가됩니다. 클라이언트와 서버 모두 서로 통신하고 있음을 해석합니다. 그러나 이 둘 사이에 작동하는 것은 SSL 프록시입니다.
예: 논리적 시스템에 대한 SSL 포워드 및 역방향 프록시 구성
이 예는 서버 보호를 활성화하기 위해 SSL 프록시를 구성하는 방법을 보여줍니다. 역방향 프록시는 클라이언트로부터 서버의 세부 정보를 숨겨 서버를 보호합니다. 이를 위해 추가적인 보안 레이어를 추가하고 포워드 프록시의 목적은 클라이언트 시스템에 대한 트래픽을 관리하는 것입니다.
요구 사항
SSL 역방향 및 포워드 프록시를 구성하려면 다음을 수행해야 합니다.
서버 인증서와 해당 키를 SRX 시리즈 방화벽의 인증서 리포지토리에 로드합니다.
SSL 프록시 프로필에 서버 인증서 식별자를 연결합니다.
보안 정책에서 SSL 프록시 프로필을 애플리케이션 서비스로 적용합니다.
개요
이 예는 클라이언트 보호를 위해 역방향 프록시를 구성하여 서버 보호 및 포워드 프록시를 구성하는 방법을 보여줍니다. SSL 프록시 프로필을 구성하고 보안 정책 규칙 수준에서 적용하는 방법을 보여줍니다. 또한 서버 보호를 위해 프라이빗 키가 있는 서버 인증서를 구성해야 합니다.
구성
CLI 빠른 구성
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브러브를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 계층 수준에서 명령을 CLI [edit] 로 복사해 붙여 넣은 다음, 구성 모드에서 을(를) 입력 commit 합니다.
set logical-systems LSYS1 services ssl proxy profile ssl-fp-profile root-ca new-srvr-cert set logical-systems LSYS1 services ssl proxy profile ssl-fp-profile actions ignore-server-auth-failure set logical-systems LSYS1 services ssl proxy profile ssl-rp-profile actions log all set logical-systems LSYS1 security log mode event set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 match source-address any set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 match destination-address any set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 match application any set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 then permit application-services ssl-proxy profile-name ssl-rp-profile set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 then log session-init set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 then log session-close set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 match source-address any set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 match destination-address any set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 match application any set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 then permit application-services ssl-proxy profile-name ssl-rp-profile set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 then log session-init set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 then log session-close
SSL 역방향 및 포워드 프록시 구성
단계별 절차
다음 예제에서는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 의 구성 모드Junos OS CLI User Guide에서 CLI 편집기 사용을 참조하십시오.
SSL 프록시를 구성하려면,
SSL 역방향 프록시를 구성합니다.
[edit logical-systems LSYS1] user@host# set logical-systems LSYS1 services ssl proxy profile ssl-rp-profile actions log all user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 match source-address any user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 match destination-address any user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 match application any user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 then permit application-services ssl-proxy profile-name ssl-rp-profile
SSL 포워드 프록시를 구성합니다.
[edit logical-systems LSYS1] user@host# set logical-systems LSYS1 services ssl proxy profile ssl-fp-profile root-ca new-srvr-cert user@host# set logical-systems LSYS1 services ssl proxy profile ssl-fp-profile actions ignore-server-auth-failure user@host# set logical-systems LSYS1 security log mode event user@host# set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 match source-address any user@host# set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 match destination-address any user@host# set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 match application any user@host# set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 then permit application-services idp user@host# set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 then permit application-services ssl-proxy profile-name ssl-rp-profile user@host# set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 then log session-init user@host# set logical-systems LSYS1 security policies from-zone trust to-zone untrust policy 1 then log session-close user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 then log session-init user@host# set logical-systems LSYS1 security policies from-zone untrust to-zone trust policy 1 then log session-close
결과
구성 모드에서 명령을 입력하여 구성을 확인합니다 show logical-system LSYS1 services ssl proxy . 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.
SSL 프록시 프로필에서 (포워드 프록시) 또는 server-certificate (역방향 프록시) 중 하나를 root-ca 구성해야 합니다. 그렇지 않으면 커밋 검사가 실패합니다.
user@host# show logical-systems LSYS1 services ssl proxy
profile ssl-rp-profile {
server-certificate ssl-inspect-sp1; { # For reverse proxy. No root-ca is needed.
actions {
log {
all;
}
}
}
profile ssl-fp-profile { # For forward proxy. No server cert/key is needed.
root-ca new-srvr-cert;
actions {
ignore-server-auth-failure;
log {
all;
}
}
}
확인
디바이스에서 SSL 프록시 구성 확인
목적
SRX 시리즈 방화벽에서 SSL 역방향 프록시 통계 보기.
작업
명령을 사용하여 show services ssl proxy statistics logical-system SSL 프록시 통계를 볼 수 있습니다.
user@host> show services ssl proxy statistics logical-system LSYS1
PIC:spu-3 fpc[0] pic[3] ------
sessions matched 1
sessions bypassed:non-ssl 0
sessions bypassed:mem overflow 0
sessions bypassed:low memory 0
sessions created 1
sessions ignored 0
sessions active 1
sessions dropped 0
sessions whitelisted 0
whitelisted url category match 0
default profile hit 0
session dropped no default profile 0
policy hit no profile configured 0