Hinweis:

Vollständig kompatible JSON-Vorlagen aus benutzerdefinierten PEM-Zertifikaten für OCI Network Firewall erstellen

Einführung

Oracle Cloud Infrastructure Network Firewall (OCI Network Firewall), eine robuste Netzwerksicherheitslösung, bietet erweiterte Sicherheitsfunktionen, einschließlich Entschlüsselungsprofilen. Mit diesen Profilen kann die Firewall den SSL-/TLS-Traffic für verbesserte Sicherheit entschlüsseln und prüfen.

In diesem Tutorial vereinfachen wir das Generieren vollständig kompatibler JSON-Vorlagen basierend auf PEM-(Privacy Enhanced Mail-)Zertifikaten. So können Sie Entschlüsselungsprofile effektiv in OCI Network Firewall konfigurieren, ohne unnötige Parsingfehler bei zugeordneten Secrets zu erhalten (d.h. zugeordnetes Secret "Mapped-secret" nicht erfolgreich). Secret kann nicht abgerufen werden).

Um Entschlüsselungsregeln effektiv zu verwenden, müssen Sie zugeordnete Secrets für die Verwendung in einem Entschlüsselungsprofil einrichten. Diese zugeordneten Secrets werden zunächst in Oracle Cloud Infrastructure Vault erstellt und anschließend mit dem Eingehende SSL-Prüfung- oder SSL-Forward-Proxy-Modus verknüpft.

Was ist OCI Network Firewall

Die Oracle Cloud Infrastructure Network Firewall stellt einen hochmodernen verwalteten Firewall-Service dar, der mit der Next-Generation Firewall Technology (NGFW) von Palo Alto Networks erstellt wird. Sie bietet auf maschinellem Lernen basierende Firewallfunktionen zum Schutz Ihrer OCI-Workloads und ist auf OCI einfach zu nutzen. Als natives OCI-Firewall-as-a-Service-Angebot können Sie mit OCI Network Firewall die Vorteile der Firewallfunktionen nutzen, ohne zusätzliche Sicherheitsinfrastruktur konfigurieren und verwalten zu müssen. Die OCI Network Firewall-Instanz ist mit integrierter High Availability hoch skalierbar und kann in einem virtuellen Cloud-Netzwerk (VCN) und Subnetz Ihrer Wahl erstellt werden

Der Network Firewall-Service bietet tiefe Einblicke in den Datenfluss, der in Ihre Cloud-Umgebungen eintritt, und adressiert sowohl eingehende als auch die Kommunikation zwischen Subnetzen und VCN. Im Wesentlichen bietet es Einblick in den Nord-Süd-Netzwerkverkehr und den Ost-West-Netzwerkverkehr.

Wenn Sie dieses Tutorial befolgen, können Sie die JSON-Vorlagen basierend auf CA-Zertifikaten (einschließlich Zwischenzertifikaten) sowie den öffentlichen und privaten Zertifikatspaaren erstellen, die für die Entschlüsselung erforderlich sind.

Ziele

Voraussetzungen

Aufgabe 1: JSON-Vorlage zum Einrichten der Zertifikatsauthentifizierung konfigurieren

Wir haben ein Linux-Skript erstellt, um eine gut formatierte JSON-Datei aus Ihren eigenen Zertifikaten zu erstellen. Weitere Informationen finden Sie unter Zertifikatsauthentifizierung einrichten.

So sieht die JSON-Datei aus.

{
 "caCertOrderedList" : [
   "ROOT_CERT01_PEM_CONTENT",
   "INTERMEDIATE_CERT01_PEM_CONTENT",
   "INTERMEDIATE_CERT02_PEM_CONTENT",
 ],
 "certKeyPair": {
   "cert" : "LEAF_CERT_01_PEM_CONTENT",
   "key":   "PRIVATE_KEY_01_PEM_CONTENT"
 }
}

Je nach Entschlüsselungsmodus können Sie die JSON-Datei aus den obligatorischen Zertifikaten wie folgt erstellen:

  1. Erstellen Sie die erwähnte JSON-Datei mit Ihren Zertifikaten.

    • Stellen Sie sicher, dass Sie Root-Zugriff auf eine Linux-VM haben. Wir empfehlen Oracle Linux 7 oder höher.

    • Download und Installation von OpenSSL.

    • Laden Sie Perl herunter, und installieren Sie es.

  2. Kopieren Sie den folgenden Code.

    cat > certificates.json << EOF
{
"caCertOrderedList" : [
  "$(perl -pe 's/\n/\\n/' ca.cert.pem)"
  $(for ((i=1; i<=10; i++)); do
    intermediate_file="ca.intermediate${i}.pem"
    if [ -f "$intermediate_file" ]; then
        echo -n ", \"$(perl -pe 's/\n/\\n/' "$intermediate_file")\""
    fi
  done)
],
"certKeyPair": {
  "cert" : "$(perl -pe 's/\n/\\n/' cert.pem)",
  "key":   "$(perl -pe 's/\n/\\n/' key.pem)"
}
}
EOF

  3. Fügen Sie die Linux VM-Datei mit der Erweiterung sh ein.

    vi create_json.sh

  4. Drücken Sie die ESC-Taste, geben Sie den Doppelpunkt : ein, und geben Sie wq ein. Drücken Sie die Eingabetaste, um die Datei zu schreiben und den Editor zu beenden.

  5. Nachdem die Datei erstellt wurde, müssen Sie das Skript ausführbar machen.

    chmod +x create_json.sh

  6. Nachdem das Skript fertig ist, müssen wir die erforderlichen Zertifikate einbringen, um die endgültige JSON-Datei zu erstellen. Das Skript benötigt die folgenden PEM-Dateinamen:

    • CA.cert.pem: Dies ist das ROOT-CA-Zertifikat, mit dem das Zertifikat Ihres internen Webservers in einem eingehenden SSL-Modus signiert wurde. Darüber hinaus kann es sich um die Root-Enterprise-CA handeln, die in einem Forward Proxy-Modus verwendet wird.

    • ca.intermediateX.pem: Wenn die verwendete CA zwischengeschaltete/verkettete Zertifikate enthält, fügen Sie sie als ca.intermediate1.pem, ca.intermediate2.pem usw. hinzu (bis zu zehn). Dadurch wird sichergestellt, dass Clients keine Authentifizierungsprobleme haben, da sie nicht in ihrem Trusted CA-Speicher installiert sind.

    • cert.pem: Dies ist das (öffentliche) Zertifikat des Servers, das Sie im eingehenden SSL-Modus schützen. Alternativ kann es sich um das Enterprise CA-Zertifikat im Forward Proxy-Modus handeln.

    • key.pem: Dies ist der Private Key für das Zertifikat des Servers, den Sie im eingehenden SSL-Modus schützen. Alternativ kann es sich um den Private Key des Enterprise CA-Zertifikats im Forward Proxy-Modus handeln.

  7. Führen Sie das Skript aus.

    ./create_json.sh

    Es wird eine Datei mit dem Namen certificates.json generiert, die Sie einfach kopieren und in Ihren Vault/Secret einfügen können, um sie in Ihrer OCI-Netzwerkfirewall-Policy zu verwenden.

Danksagungen

Weitere Lernressourcen

Lernen Sie andere Übungen auf docs.oracle.com/learn kennen, oder greifen Sie auf weitere kostenlose Lerninhalte im Oracle Learning YouTube Channel zu. Besuchen Sie außerdem education.oracle.com/learning-explorer, um Oracle Learning Explorer zu werden.

Produktdokumentation finden Sie im Oracle Help Center.