Documentation sur Oracle Cloud Infrastructure

Configuration du déchiffrement et de l'inspection du trafic réseau

Installez le certificat et la clé privée nécessaires pour déchiffrer et inspecter le trafic TLS.

Les clés secrètes de chambre forte sont utilisées pour déchiffrer et inspecter le trafic SSL/TLS.

L'inspection entrante SSL déchiffre et inspecte le trafic SSL/TLS entrant d'un client vers un serveur réseau ciblé. Pour plus d'informations sur l'inspection entrante SSL, voir Inspection entrante SSL.

Le mandataire de transmission SSL déchiffre et inspecte le trafic SSL/TLS des utilisateurs internes vers le Web. Une seule clé secrète de mandataire de transmission SSL est autorisée pour chaque politique de pare-feu. Pour plus d'informations sur le mandataire de transmission SSL, voir Mandataire de transmission SSL,

Après avoir créé une politique de pare-feu, vous allez créer une clé secrète mappée pour mapper la clé secrète de la chambre forte à une clé SSL entrante ou sortante. Vous allez ensuite créer un profil de décryptage pour contrôler la façon dont le mandataire de transmission SSL et l'inspection entrante SSL effectuent les vérifications de mode de session, les vérifications de serveur et les vérifications des échecs.

Pour plus d'informations sur l'utilisation du certificat avec une politique de pare-feu, voir Création et gestion des politiques de pare-feu.

Tâche 1 : Autoriser le service de pare-feu de réseau à accéder aux clés secrètes du service de chambre forte

Créez une politique IAM pour permettre à la politique de pare-feu d'accéder aux clés secrètes de chambre forte et de les utiliser.

Pour permettre à toutes les politiques de pare-feu d'accéder aux clés secrètes du service de chambre forte :
Allow any-user to read secret-family in compartment <compartment_ID> where ALL {request.principal.type='networkfirewallpolicy'}
Pour autoriser une politique de pare-feu à accéder aux clés secrètes du service de chambre forte : 
Allow any-user to read secret-family in compartment <compartment_ID> where ALL {request.principal.type='networkfirewallpolicy', request.principal.id='<Network Firewall Policy OCID>'}
Avertissement

Si cette autorisation est révoquée plus tard, le pare-feu arrêtera le déchiffrement du trafic, car le service ne pourra pas accéder à la clé secrète mappée.

Ces politiques remplacent la politique obsolète pour accéder aux clés secrètes de chambre forte :

allow service ngfw-sp-prod to read secret-family in compartment <compartment_name>
Tâche 2 : Créer une chambre forte et une clé principale pour stocker le certificat
  1. Créez une chambre forte dans laquelle stocker le certificat.
  2. Créez une clé de chiffrement principale dans la chambre forte.
    Important

    La clé principale doit être une clé symétrique. Vous ne pouvez pas chiffrer des clés secrètes avec des clés asymétriques.
Tâche 3 : Stocker le certificat

Vous pouvez utiliser un certificat auto-signé ou signé par une autorité de certification avec le service de pare-feu de réseau OCI.

Oracle fournit un script que vous pouvez utiliser pour générer un certificat auto-signé.
Important

  • Le service de pare-feu de réseau valide le certificat fourni et le stocke dans la racine des certificats approuvés. Pour valider le certificat, fournissez l'ensemble de la chaîne de certificats SSL, y compris le certificat racine des certificats intermédiaires et la clé privée. Chargez des certificats au format .pem qui sont encapsulés dans le modèle .json suivant.

  • Si le certificat feuille spécifié dans "certKeyPair" est un certificat de confiance directe, il doit avoir la capacité de signature d'autorité de certification. Réglez l'indicateur CA à "true".

    Dans cet exemple, si "LEAF_CERT_01_PEM_CONTENT" est un certificat de confiance directe, son indicateur CA doit être réglé à "true". 
    {
  "caCertOrderedList" : [
    "ROOT_CERT01_PEM_CONTENT",
    "INTERMEDIATE_CERT01_PEM_CONTENT",
    "INTERMEDIATE_CERT02_PEM_CONTENT",
  ],
  "certKeyPair": {
    "cert" : "LEAF_CERT_01_PEM_CONTENT",
    "key":   "PRIVATE_KEY_01_PEM_CONTENT"
  }
}
Pour utiliser un certificat OpenSSL auto-signé, vous pouvez utiliser un script fourni par Oracle pour en créer un :
  1. Téléchargez et installez OpenSSL.
  2. Téléchargez et installez Perl.
  3. Téléchargez le script à partir du référentiel Oracle GitHub.
  4. Exécutez le script à l'aide de la commande suivante. Remplacez <test.test.com> par le nom de DNS du serveur Web que vous devez protéger : 
    ./create-certificate inbound <test.test.com>
    ou 
    ./create-certificate forward <test.test.com>
Tâche 4 : Créer des clés secrètes dans la chambre forte

Créez une clé secrète dans la chambre forte pour chaque certificat que vous voulez utiliser.

  1. Ouvrez le menu de navigation, allez à Identité et sécurité, puis sélectionnez Chambre forte.
  2. Sous Portée de la liste, dans la liste Compartiment, sélectionnez le compartiment.

  3. Sélectionnez la chambre forte que vous avez créée dans la Tâche 2 : Créer une chambre forte et une clé principale pour stocker le certificat.

  4. Sélectionnez Clés secrètes, puis Créer une clé secrète.
  5. Dans la boîte de dialogue Créer une clé secrète, sélectionnez un compartiment dans la liste Créer dans le compartiment. (Des clés secrètes peuvent exister hors du compartiment dans lequel se trouve la chambre forte.)
  6. Sélectionnez Nom, puis entrez un nom. Utilisez un nom correspondant au type de certificat que contient la clé secrète. Par exemple, "ssl-ininspection-inspection-certificate."
  7. Sélectionnez Description, puis entrez une description.
  8. Sélectionnez la clé de chiffrement principale que vous avez créée dans la Tâche 2 : Créer une chambre forte et une clé principale pour stocker le certificat.
  9. Indiquez Texte brut comme format pour le contenu de la clé secrète.
  10. Sélectionnez Contenu de la clé secrète, puis copiez le contenu du certificat dans le champ. (La taille maximale autorisée pour un ensemble de clé secrète est 25 Ko.)
  11. Sélectionnez Créer une clé secrète.
Note

Exemple pour le contenu de la clé secrète créée avec des données masquées :
{
  "caCertOrderedList" : [
    "-----BEGIN CERTIFICATE-----\nxxxxxxxxxxx\n-----END CERTIFICATE-----",
    "-----BEGIN CERTIFICATE-----\nxxxxxxxxxxx\n-----END CERTIFICATE-----",
    "-----BEGIN CERTIFICATE-----\nxxxxxxxxxxx\n-----END CERTIFICATE-----"
  ],
  "certKeyPair": {
    "cert" : "-----BEGIN CERTIFICATE-----\nnxxxxxxxxxxx\n-----END CERTIFICATE-----",
    "key":  "-----BEGIN RSA PRIVATE KEY-----\nnnxxxxxxxxxxx\n-----END RSA PRIVATE KEY-----"
  }
}