TLS-Verkehr inspizieren

Erweiterte TLS-Verkehrsinspektion aktivieren

• Beseitigt die Notwendigkeit, TLS-Anmeldedaten manuell zu konfigurieren
• Unterstützt mehr Chiffren als die SSL-Inspektion, einschließlich Perfect Forward Secrecy (PFS)-Chiffren

Verwenden Sie die erweiterte TLS-Verkehrsinspektion, um den Datenverkehr zu überprüfen

• IIS
• Microsoft Exchange
• Remotedesktopprotokoll (RDP)

Hinweis Wenn Sie TLS-Datenverkehr überprüfen müssen, der nicht von der erweiterten TLS-Datenverkehrsinspektion unterstützt wird, oder TLS-Datenverkehr auf anderen Betriebssystemen, können Sie stattdessen die Legacy-SSL-Inspektion konfigurieren.

SSL-Inspektion konfigurieren (veraltet)

1. Wählen Sie in der Server- und Workload Protection-Konsole den Computer aus, den Sie konfigurieren möchten, und klicken Sie auf Details, um den Computer-Editor zu öffnen.
2. Klicken Sie im linken Bereich des Computer-Editors auf Intrusion Prevention → Erweitert → View SSL Configurations, und klicken Sie auf View SSL Configurations, um das SSL-Computer-Konfigurationsfenster zu öffnen.
3. Klicken Sie auf Neu, um den SSL-Konfigurationsassistenten zu öffnen.
4. Geben Sie die Schnittstelle an, auf die die Konfiguration auf diesem Computer angewendet werden soll:
   • Um auf alle Schnittstellen auf diesem Computer anzuwenden, wählen Sie All Interface(s).
   • Um auf bestimmte Schnittstellen anzuwenden, wählen Sie Specific Interface(s).
5. Wählen Sie Port(s) oder Ports List aus und wählen Sie eine Liste, dann klicken Sie auf Weiter.
6. Wählen Sie auf dem IP-Auswahlbildschirm All IPs aus oder geben Sie ein Specific IP an, auf dem die SSL-Inspektion durchgeführt werden soll, und klicken Sie dann auf Weiter.
7. Wählen Sie auf dem Anmeldebildschirm aus, wie Sie die Anmeldedaten bereitstellen möchten:
   • I will upload credentials now
   • The credentials are on the computer

     Hinweis Die Anmeldedatei muss den privaten Schlüssel enthalten.

8. Wenn Sie die Option gewählt haben, Anmeldedaten jetzt hochzuladen, geben Sie deren Typ, Standort und Passphrase (falls erforderlich) ein. Wenn sich die Anmeldedaten auf dem Computer befinden, geben Sie die Anmeldedetails an.
   • Wenn Sie PEM- oder PKCS#12-Anmeldeinformationen verwenden, die auf dem Computer gespeichert sind, identifizieren Sie den Speicherort der Anmeldedatei und die Passphrase der Datei (falls erforderlich).
   • Wenn Sie Windows CryptoAPI-Anmeldedaten verwenden, wählen Sie die Anmeldedaten aus der Liste der auf dem Computer gefundenen Anmeldedaten aus.
9. Geben Sie einen Namen und eine Beschreibung für diese Konfiguration an.
10. Überprüfen Sie die Zusammenfassung und schließen Sie den SSL-Konfigurationsassistenten. Lesen Sie die Zusammenfassung des Konfigurationsvorgangs und klicken Sie auf Fertig stellen, um den Assistenten zu schließen.

Porteinstellungen ändern

1. Gehen Sie zu Regeln zum Eindringschutz im Detailfenster des Computers, um die Liste der auf diesen Computer angewendeten Regeln zum Eindringschutz anzuzeigen.
2. Sortieren Sie die Regeln nach Anwendungstyp und lokalisieren Sie den Anwendungstyp "Webserver Common". (Sie können diese Änderungen auch bei ähnlichen Anwendungstypen vornehmen.)
3. Klicken Sie mit der rechten Maustaste auf eine Regel im Anwendungstyp und klicken Sie auf Application Type Properties.
4. Überschreiben Sie die geerbte "HTTP"-Portliste, sodass Sie den Port, den Sie während der SSL-Konfiguration definiert haben, sowie Port 80 einschließen. Geben Sie die Ports als durch Kommas getrennte Werte ein. Wenn Sie beispielsweise Port 9090 in der SSL-Konfiguration verwenden, geben Sie 9090, 80 ein.
5. Um die Leistung zu verbessern, deaktivieren Sie auf der Konfiguration-Registerkarte Inherited and Monitor responses from Web Server.
6. Klicken Sie auf OK, um das Dialogfeld zu schließen.

Verwenden Sie die Eindringungserkennung, wenn der Datenverkehr mit Perfect Forward Secrecy (PFS) verschlüsselt ist

Hinweis Mit der erweiterten TLS-Verkehrsinspektionsfunktion kann das Intrusion-Prevention-Modul den mit PFS-Chiffren verschlüsselten Verkehr ohne zusätzliche Konfiguration analysieren.

1. Verwenden Sie Perfect Forward Secrecy für TLS-Datenverkehr zwischen dem Internet und Ihrem Load Balancer (oder Reverse Proxy).
2. Beenden Sie die Perfect Forward Secrecy-Sitzung an Ihrem Load Balancer (oder Reverse Proxy).
3. Verwenden Sie eine Nicht-PFS-Verschlüsselungssuite (siehe SSL-Inspektion unterstützt die folgenden Verschlüsselungssuiten unten) für den Datenverkehr zwischen dem Lastenausgleich (oder Reverse-Proxy) und dem Webserver oder Anwendungsserver, damit das Intrusion-Prevention-Modul auf dem Server die TLS-Sitzungen entschlüsseln und überprüfen kann.
4. Beschränken Sie den Datenverkehr zum Webserver für Anwendungsserver-Ports, die keine Perfect Forward Secrecy verwenden.

Besondere Überlegungen zu Diffie-Hellman-Chiffren

Hinweis Dieser Abschnitt gilt nur bei der Verwendung von SSL-Inspektion anstelle der erweiterten TLS-Verkehrsinspektion.

1. Öffnen Sie die Konfigurationsdatei des Servers. Der Dateiname und der Speicherort der Webserver-Konfigurationsdateien variieren je nach Betriebssystem (OS) und Distribution. Zum Beispiel könnte der Pfad sein:
   • Default installation on RHEL4: /etc/httpd/conf.d/ssl.conf
   • Apache 2.2.2 on Red Hat Linux: /apache2/conf/extra/httpd-ssl.conf
2. Suchen Sie in der Konfigurationsdatei die Variable "SSLCipherSuite".
3. Fügen Sie !DH:!EDH:!ADH: zu diesen Feldern hinzu, wenn dieser String noch nicht vorhanden ist. (Das "!" weist Apache an, diesen Chiffre "nicht" zu verwenden.)
4. Zum Beispiel könnten Sie die Cipher-Suite der Apache-Konfigurationsdatei so bearbeiten, dass sie folgendermaßen aussieht:

SSLCipherSuite !DH:!EDH:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

Unterstützte Chiffriersuiten

Unterstützte Protokolle

• TLS 1.0
• TLS 1.1
• TLS 1.2