- tocdepth
2
Инспектирование SSL- и SSH-соединений
Часть сервисов безопасности UserGate, например HTTPS, SMTPS, POP3S, не проводят анализ содержимого и не обнаруживают сетевые атаки внутри шифрованных протоколов.
Чтобы UserGate определял приложения и сетевые атаки в шифрованных транспортных протоколах необходимо предварительно настроить перехват зашифрованных соединений. Для этого нужно импортировать корневой SSL-сертификат устройства UserGate на всех конечных хостах вашего VDC и настроить профиль инспектирования SSL.
Установка корневого сертификата для ОС Windows
Перейдите в раздел меню и нажмите Экспорт>Экспорт сертификата.
После скачивания сертификата с именем certificate.der переместите его на каждый внутренний хост.
Далее двойным щелчком мыши проведите установку данного сертификата, выполнив в операционной системе следующие операции: Установить сертификат –> Локальный компьютер –> Поместить все сертификаты в следующее хранилище сертификатов –> Обзор –> Доверенные корневые центры сертификации.
ОС выведет сообщение об успешном импорте сертификата.
Обычно инспектированию подлежит весь транзитный сетевой трафик, поэтому создаваемый профиль безопасности должен распространяться на все хосты в заданных сетевых сегментах.
Создание политики инспектирования SSL-соединений
Перейдите в раздел и нажмите Добавить.
На вкладке Общие введите название политики на латинице.
В разделе Профиль SSL выберите профиль инспектирования SSL Default SSL profile, который содержит наборы протоколов шифрования.
При необходимости задайте дополнительные параметры проверки корректности сертификатов удаленных хостов в разделе Атрибуты.
На вкладке Источник выберите те внутренние зоны, исходящий трафик из которых должен инспектироваться.
На вкладке Адрес назначения при необходимости укажите IP-адреса и имена доменов, при обращении к которым должно происходить инспектирование SSL-соединения. Рекомендуется оставить вкладку пустой.
Остальные вкладки оставьте без изменения.
Нажмите Сохранить.
Внимание
Политики инспектирования SSL-трафика по логике работы повторяют правила межсетевого экрана, но работают независимо. Поэтому могут для удобства иметь иной формат наполнения.
Для проверки корректности инспектирования SSL-соединения откройте в браузере любой внешний веб-сайт по протоколу HTTPS и просмотрите информацию о применяемом сертификате безопасности. Он должен быть выписан вышим устройством UserGate, а не оригинальным веб-сайтом.
Инспектирование SSH-трафика
Инспекция SSH-соединений происходит аналогично SSL-соединениям.
Создайте политику инспектирования SSH:
Перейдите в раздел .
На вкладке Общие введите имя правила на латинице и при необходимости укажите атрибуты защиты SSH.
На вкладке Источник выберите зоны, исходящий трафик которых должен инспектироваться.
На вкладке Адрес назначения при необходимости укажите IP-адреса и имена доменов, при обращении к которым должно происходить инспектирование SSH-соединения. Рекомендуется оставить вкладку пустой.
На вкладке Сервис нажмите Добавить и выберите SSH.
Нажмите Сохранить.
Внимание
Политики инспектирования SSH-трафика по логике работы повторяют правила межсетевого экрана, но работают независимо. Поэтому могут для удобства иметь иной формат наполнения.
Теперь при установке SSH-соединений в качестве серверного сертификата будет выводиться сертификат ВМ UserGate.
для Dev & Test