檢查 TLS 流量

啟用進階 TLS 流量檢查

• 消除手動配置TLS憑證的需求
• 支持比 SSL 檢查更多的加密套件，包括完全前向保密 (PFS) 加密套件

使用進階 TLS 流量檢查來檢查流量

• IIS
• Microsoft Exchange
• 遠端桌面通訊協定 (RDP)

注意 如果您需要檢查不受進階 TLS 流量檢查支援的 TLS 流量，或其他作業系統上的 TLS 流量，您可以配置傳統的 SSL 檢查。

配置 SSL 檢查（舊版）

1. 在 Server & Workload Security保護 主控台中，選擇要配置的電腦防護並點選 詳細資訊 以開啟電腦防護編輯器。
2. 在電腦防護編輯器的左窗格中，點選 Intrusion Prevention → Advanced → View SSL Configurations, 並點選 View SSL Configurations 以開啟 SSL 電腦防護設定視窗。
3. 點選 New 以開啟 SSL 設定精靈。
4. 指定要在此電腦防護上應用配置的介面：
   • 要將其應用於此電腦防護上的所有介面，請選擇All Interface(s)。
   • 要應用到特定介面，請選擇Specific Interface(s)。
5. 選擇 Port(s) 或 Ports List 並選擇一個列表，然後點選 下一步。
6. 在 IP 選擇畫面上，選擇 All IPs 或提供一個 Specific IP 來執行 SSL 檢查，然後點選 下一步。
7. 在憑證畫面上，選擇如何提供憑證：
   • I will upload credentials now
   • The credentials are on the computer

     注意 憑證檔案必須包含私鑰。

8. 如果您選擇立即上傳憑證，請輸入其類型、位置資訊和密碼短語（如果需要）。如果憑證在電腦防護上，請提供憑證詳細資訊。
   • 如果您使用儲存在電腦防護上的PEM或PKCS#12憑證格式，請識別憑證檔案的位置資訊和檔案的密碼短語（如果需要）。
   • 如果您使用的是 Windows CryptoAPI 憑證，請從電腦防護中找到的憑證列表中選擇憑證。
9. 為此配置提供名稱和描述。
10. 檢閱摘要並關閉 SSL 設定精靈。閱讀設定操作的摘要，然後點選 Finish 以關閉精靈。

更改埠設定

1. 前往電腦詳細資料視窗中的入侵防護規則，查看應用於此電腦的入侵防護規則列表。
2. 按Application Type排序規則並找到 "Web 伺服器常見" 應用程式類型。（您也可以對類似的應用程式類型進行這些更改。）
3. 在應用程式類型中右鍵點選一個規則，然後點選Application Type Properties。
4. 覆寫繼承的 "HTTP" 埠列表，以包含您在 SSL 配置設置期間定義的埠以及埠 80。請以逗號分隔的值輸入這些埠。例如，如果您在 SSL 配置中使用埠 9090，請輸入 9090, 80。
5. 為了提升效能，請在Configuration標籤上取消選取Inherited and Monitor responses from Web Server。
6. 點選確定以關閉對話框。

當流量使用完美前向保密 (PFS) 進行已加密時，請使用入侵防護

注意 使用進階 TLS 流量檢查功能，入侵防護模組將能夠在不需額外配置的情況下分析使用 PFS 密碼已加密的流量。

1. 使用完全前向保密性來保護網路與您的負載平衡器（或反向Proxy）之間的TLS流量。
2. 在您的負載平衡器（或反向Proxy）終止完美前向保密會話。
3. 使用非 PFS 密碼套件（請參閱下方的 SSL 檢查支援以下密碼套件），以便在負載平衡器（或反向 Proxy）與 Web 伺服器或應用伺服器之間的流量中，讓伺服器上的入侵防護模組能夠解密 TLS 會話並進行檢查。
4. 限制流量到 Web 伺服器，針對不使用完全前向保密的應用伺服器端口。

Diffie-Hellman 密碼的特殊考量

注意 本節僅適用於使用 SSL 檢查而非進階 TLS 流量檢查時。

1. 打開伺服器的配置檔案。Web 伺服器配置檔案的檔案名稱和位置資訊因作業系統 (OS) 和發行版而異。例如，路徑可能是：
   • Default installation on RHEL4：/etc/httpd/conf.d/ssl.conf
   • Apache 2.2.2 on Red Hat Linux：/apache2/conf/extra/httpd-ssl.conf
2. 在配置檔案中，找到 "SSLCipherSuite" 變數。
3. 如果此字串尚未出現，請在這些欄位中新增 !DH:!EDH:!ADH:。（"!" 告訴 Apache "不" 使用此加密套件。）
4. 例如，您可能會將 Apache 配置檔案的密碼套件編輯成如下所示：

SSLCipherSuite !DH:!EDH:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

支援的密碼套件

支援的協定

• TLS 1.0
• TLS 1.1
• TLS 1.2