Configuración del proxy de SSL

• Configuración del certificado de AC raíz, consulte Inscribir un certificado

• Al cargar un grupo de perfiles de AC, consulte Inscribir un certificado

• Configurar el perfil de proxy SSL y asociar el certificado de AC raíz y el grupo de perfiles de AC

• Cree una política de seguridad definiendo criterios de coincidencia del tráfico de entrada

• Aplicación de un perfil de proxy SSL a una política de seguridad

• Pasos opcionales, como la creación de listas de permitidos y el registro de proxy SSL

El proxy de SSL se habilita como un servicio de aplicación dentro de una política de seguridad. En una política de seguridad, especifique el tráfico en el que desea habilitar el proxy SSL como criterio de coincidencia y, luego, especifique el perfil de AC del proxy SSL que se aplicará al tráfico.

Para habilitar el proxy SSL en una política de seguridad:

En este ejemplo se supone que ya creó zonas de seguridad, de confianza y de no confianza, y creó una política de seguridad para el tráfico de la zona de confianza a la zona de no confianza.

Al configurar el proxy de SSL, puede optar por establecer la opción para recibir algunos o todos los registros. Los registros de proxy SSL contienen el nombre del sistema lógico, las listas de permitidos de proxy SSL, información de políticas, información de proxy SSL y otra información que le ayuda a solucionar problemas cuando se produce un error.

Puede configurar el registro de eventos específicos, como errores, advertencias y eventos de all información. También puede configurar el registro de las sesiones que se incluyen en la lista de permitidos, se quitan, se ignoran o se permiten después de que se produce un error.

Puede usar enable-flow-tracing la opción para habilitar el seguimiento de depuración.

Junos OS le permite configurar una opción para ignorar completamente la autenticación del servidor. Si configura el sistema para ignorar la autenticación, se ignorarán los errores encontrados durante la comprobación del certificado del servidor en el momento del apretón de manos SSL. Entre los errores que se suelen ignorar se encuentran la imposibilidad de comprobar la firma de la AC, fechas de caducidad de certificados incorrectas, etc. Si esta opción no está definida, todas las sesiones en las que el servidor envía certificados autofirmados se cerrarán cuando se encuentren errores.

No recomendamos usar esta opción para la autenticación, ya que configurarla da como resultado que los sitios web no se autentiquen en absoluto. Sin embargo, puede usar esta opción para identificar de forma eficaz la causa raíz de las sesiones SSL interrumpidas.

En el modo de configuración, especifique que se ignore la autenticación del servidor:

La implementación del modelo de proxy (proxy inverso) mejora la protección del servidor. Mejora el apretón de manos y admite más versiones de protocolo. Puede habilitar servicios de capa 7 como seguridad de aplicaciones, SPI, seguridad de contenido y ATP Cloud en tráfico SSL descifrado por proxy inverso.

Recomendamos usar el proxy inverso SSL y la detección y prevención de intrusiones (DPI) en lugar de usar la funcionalidad de inspección SSL de DPI. En las versiones recientes de Junos OS, la inspección de SSL de DPI está en desuso, en lugar de eliminarse de inmediato, para proporcionar compatibilidad con versiones anteriores y la oportunidad de hacer que su configuración cumpla con la nueva configuración.

Características del proxy inverso:

• Finaliza el SSL del cliente en el firewall e inicia una nueva conexión SSL con un servidor. Descifra el tráfico SSL del cliente/servidor y vuelve a cifrar (después de la inspección) antes de enviarlo al servidor/cliente.

• Es compatible con todas las versiones actuales del protocolo.

• • Admite RSA

  • Soporte DHE o ECDHE

• Usa un proxy de reenvío SSL existente con un proxy TCP debajo.

• Al igual que el proxy de reenvío, el tráfico SSL descifrado está disponible para todos los servicios de seguridad.

• Se admiten todos los cifrados de uso común.

Debe configurar uno o root-ca server-certificate en un perfil de proxy SSL. De lo contrario, se produce un error en la comprobación de confirmación. Consulte la siguiente tabla para obtener detalles de las configuraciones compatibles.

Se admite la configuración de varias instancias de perfiles de proxy directo e inverso. Pero, para una política de firewall determinada, solo se puede configurar un perfil (ya sea un perfil de proxy directo o inverso). También se admite la configuración de proxy directo e inverso en el mismo dispositivo.

No puede configurar la implementación de proxy inverso anterior con la nueva implementación de proxy inverso para una política de firewall determinada. Si ambas están configuradas, recibirá un mensaje de error de confirmación de comprobación.

Los siguientes son los pasos mínimos para configurar el proxy inverso:

En este ejemplo, se muestra cómo configurar el proxy inverso para activar la protección del servidor. Además, para proteger el servidor, se deben configurar certificados de servidor con claves privadas.

Un proxy inverso protege los servidores ocultando los detalles de los servidores a los clientes, agregando una capa adicional de seguridad.

Para configurar un proxy inverso SSL, debe:

• Cargue los certificados de servidor y sus claves en el repositorio de certificados del firewall.

• Adjunte los identificadores de certificado de servidor al perfil de proxy SSL.

• Aplique el perfil de proxy SSL como servicios de aplicación en una política de seguridad.

Para configurar el proxy inverso SSL:

Siga estos pasos para configurar las categorías de URL predefinidas en un perfil de proxy SSL.

Siga estos pasos para configurar categorías de URL personalizadas en un perfil de proxy SSL.