檢查 TLS 流量

啟用進階 TLS 流量檢查

• 消除手動配置TLS憑證的需求
• 支持比 SSL 檢查更多的加密套件，包括完全前向保密 (PFS) 加密套件

使用進階 TLS 流量檢查來檢查流量

• IIS
• Microsoft Exchange
• 遠端桌面通訊協定 (RDP)

配置 SSL 檢查（舊版）

1. 在 伺服器與工作負載保護 控制台中，選擇要配置的電腦防護，然後點擊 「詳細資訊」 以開啟電腦防護編輯器。
2. 在電腦編輯器的左側窗格中，點擊「入侵防護」 → 「進階」 → 「View SSL Configurations,」，然後點擊「View SSL Configurations」以開啟SSL電腦防護配置窗口。
3. 按一下「新增」開啟「SSL Configuration」精靈。
4. 指定要在此電腦防護上應用配置的介面：
   • 若要套用至此電腦的所有介面，請選擇「All Interfaces」。
   • 若要應用於特定介面，請選擇「Specific Interfaces」。
5. 選擇「通訊埠」或「Ports List」並選擇一個列表，然後點擊「下一步」。
6. 在 IP 選擇畫面中，選擇「All IPs」或提供「Specific IP」以執行 SSL 檢查，然後點擊「下一步」。
7. 在憑證畫面上，選擇如何提供憑證：
   • I will upload credentials now
   • The credentials are on the computer
     憑證檔案必須包含私鑰。
8. 如果您選擇立即上傳憑證，請輸入其類型、位置資訊和密碼短語（如果需要）。如果憑證在電腦防護上，請提供憑證詳細資訊。
   • 如果您使用儲存在電腦防護上的PEM或PKCS#12憑證格式，請識別憑證檔案的位置資訊和檔案的密碼短語（如果需要）。
   • 如果您使用的是 Windows CryptoAPI 憑證，請從電腦防護中找到的憑證列表中選擇憑證。
9. 為此配置提供名稱和描述。
10. 檢閱摘要並關閉「SSL Configuration」精靈。閱讀配置操作的摘要，然後點擊「完成」以關閉精靈。

更改埠設定

1. 前往電腦詳細資訊視窗中的「入侵防護規則」以查看此電腦上正在套用的入侵防護規則列表。
2. 按「應用程式類型」排序規則並找到 Web 伺服器常見應用程式類型。您也可以對類似的應用程式類型進行這些更改。
3. 在應用程式類型中右鍵點擊一個規則，然後點擊「Application Type Properties」。
4. 覆寫繼承的 HTTP 通訊埠列表，以便包含您在 SSL 設定期間定義的通訊埠以及通訊埠 80。請以逗號分隔的值輸入通訊埠。例如，如果您在 SSL 設定中使用通訊埠 9090，請輸入 9090, 80。
5. 若要提升效能，請在「組態」標籤中取消選取「Inherited and Monitor responses from Web Server」。
6. 請點選「確定」以關閉對話方塊。

當流量使用完美前向保密 (PFS) 進行已加密時，請使用入侵防護

1. 使用完全前向保密性來保護網路與您的負載平衡器（或反向Proxy）之間的TLS流量。
2. 在您的負載平衡器（或反向Proxy）終止完美前向保密會話。
3. 使用非 PFS 密碼套件（請參閱 SSL 檢查支援以下密碼套件），以便在負載平衡器（或反向 Proxy）與 Web 伺服器或應用程式伺服器之間的流量中，讓伺服器上的入侵防護模組能夠解密 TLS 會話並進行檢查。
4. 限制流量到 Web 伺服器，針對不使用完全前向保密的應用伺服器端口。

Diffie-Hellman 密碼的特殊考量

1. 開啟伺服器的設定檔。Web 伺服器設定檔的檔案名稱和位置資訊會因作業系統和發行版本而異。例如，路徑可能是：
   • 在 RHEL4 上的預設安裝：/etc/httpd/conf.d/ssl.conf
   • Apache 2.2.2 在 Red Hat Linux 上：/apache2/conf/extra/httpd-ssl.conf
2. 在配置檔中，找到 SSLCipherSuite 變數。
3. 如果此字串尚未出現，請在這些欄位中新增 !DH:!EDH:!ADH:。驚嘆號 ! 告訴 Apache 不要使用此加密套件。
4. 例如，您可能會編輯 Apache 配置文件的加密套件，使其看起來類似於以下內容：

SSLCipherSuite !DH:!EDH:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

支援的密碼套件

支援的協定

• TLS 1.0
• TLS 1.1
• TLS 1.2
• TLS 1.3