Documentation Oracle Cloud Infrastructure

Configuration du déchiffrement et de l'inspection du trafic réseau

Configurez l'authentification par certificat et les clés secrètes Vault pour décrypter et inspecter le trafic réseau.

Les clés secrètes de coffre sont utilisées pour décrypter et inspecter le trafic SSL/TLS.

L'inspection entrante SSL décrypte et inspecte le trafic SSL/TLS entrant d'un client vers un serveur réseau ciblé. Pour plus d'informations sur l'inspection entrante SSL, reportez-vous à Inspection entrante SSL.

Le proxy de transfert SSL décrypte et inspecte le trafic SSL/TLS des utilisateurs internes vers le Web. Une seule clé secrète de proxy de transfert SSL est autorisée pour chaque stratégie de pare-feu. Pour plus d'informations sur le proxy de transfert SSL, reportez-vous à la section SSL Forward Proxy,

Une fois que vous avez créé une stratégie de pare-feu, vous créez une clé secrète mise en correspondance pour la mettre en correspondance avec une clé SSL entrante ou sortante. Vous allez ensuite créer un profil de décryptage afin de contrôler la façon dont le proxy de transfert SSL et l'inspection entrante SSL effectuent les vérifications du mode de session, du serveur et des échecs.

Pour plus d'informations sur l'utilisation du certificat avec une stratégie de pare-feu, reportez-vous à Création et gestion de stratégies de pare-feu.

Tâche 1 : autoriser le service Network Firewall à accéder aux clés secrètes Vault

Créez une stratégie IAM pour permettre à la stratégie de pare-feu d'accéder aux clés secrètes Vault et de les utiliser.

Pour autoriser toutes les stratégies de pare-feu à accéder aux clés secrètes de service Vault, procédez comme suit :
Allow any-user to read secret-family in compartment <compartment_ID> where ALL {request.principal.type='networkfirewallpolicy'}
Pour autoriser une stratégie de pare-feu à accéder aux clés secrètes de service Vault, procédez comme suit : 
Allow any-user to read secret-family in compartment <compartment_ID> where ALL {request.principal.type='networkfirewallpolicy', request.principal.id='<Network Firewall Policy OCID>'}
Avertissement

Si ce droit d'accès est révoqué ultérieurement, le pare-feu arrête de décrypter le trafic car le service ne pourra pas accéder à la clé secrète mise en correspondance.

Ces stratégies remplacent la stratégie en phase d'abandon permettant d'accéder aux clés secrètes Vault :

allow service ngfw-sp-prod to read secret-family in compartment <compartment_name>
Tâche 2 : créer un coffre et une clé maître pour stocker le certificat
  1. Créez un coffre dans lequel stocker le certificat.
  2. Créez une clé de cryptage maître dans le coffre.
    Important

    La clé maître doit être une clé symétrique. Vous ne pouvez pas crypter des clés secrètes avec des clés symétriques.
Tâche 3 : stocker le certificat

Vous pouvez utiliser un certificat auto-signé ou signé par une autorité de certification avec le service OCI Network Firewall.

Oracle fournit un script que vous pouvez utiliser pour générer un certificat auto-signé.
Important

  • Le service Network Firewall valide le certificat fourni et le stocke dans la racine sécurisée. Pour valider le certificat, fournissez l'ensemble de la chaîne de certificat SSL, y compris le certificat racine et la clé privée des certificats intermédiaires. Téléchargez les certificats au format .pem qui sont encapsulés dans le modèle .json suivant.

  • Si le certificat feuille spécifié dans "certKeyPair" est un certificat de confiance, il doit disposer de la capacité de signature de l'autorité de certification. Définissez l'indicateur CA sur "true".

    Dans cet exemple, si "LEAF_CERT_01_PEM_CONTENT" est un certificat de confiance, son indicateur CA doit être défini sur "true". 
    {
  "caCertOrderedList" : [
    "ROOT_CERT01_PEM_CONTENT",
    "INTERMEDIATE_CERT01_PEM_CONTENT",
    "INTERMEDIATE_CERT02_PEM_CONTENT",
  ],
  "certKeyPair": {
    "cert" : "LEAF_CERT_01_PEM_CONTENT",
    "key":   "PRIVATE_KEY_01_PEM_CONTENT"
  }
}
Pour utiliser un certificat OpenSSL auto-signé, vous pouvez utiliser un script fourni par Oracle pour en créer un :
  1. Téléchargez et installez OpenSSL.
  2. Téléchargez et installez Perl.
  3. Téléchargez le script à partir du référentiel GitHub pour Oracle.
  4. Exécutez le script à l'aide de la commande suivante. Remplacez <test.test.com> par le nom DNS du serveur Web à protéger : 
    ./create-certificate inbound <test.test.com>
    ou 
    ./create-certificate forward <test.test.com>
Tâche 4 : créer des clés secrètes dans le coffre

Créez une clé secrète dans le coffre pour chaque certificat à utiliser.

  1. Ouvrez le menu de navigation, accédez à Identité et sécurité, puis sélectionnez Coffre.
  2. Sous Portée de la liste, dans la liste Compartiment, sélectionnez le compartiment.

  3. Sélectionnez le coffre que vous avez créé dans Tâche 2 : créer une clé maître et un coffre pour stocker le certificat.

  4. Sélectionnez Clés secrètes, puis Créer une clé secrète.
  5. Dans la boîte de dialogue Créer un secret, choisissez un compartiment de la liste Créer dans un compartiment. (Les clés secrètes peuvent exister en dehors du compartiment dans lequel se trouve le coffre.)
  6. Sélectionnez Nom, puis entrez un nom. Utilisez un nom qui correspond au type de certificat que contient la clé secrète. Par exemple, "certificat-inspection-entrante-ssl."
  7. Sélectionnez Description, puis entrez une description.
  8. Sélectionnez la clé d'encryptage maître que vous aurez créée dans Tâche 2 : créer un coffre et la clé maître pour stocker le certificat.
  9. Indiquez Texte brut pour le format du contenu de la clé secrète.
  10. Sélectionnez Contenu de clé secrète, puis copiez le contenu du certificat dans le champ. (La taille maximale autorisée pour un groupe de clés secrètes est de 25 ko.)
  11. Sélectionnez Créer une clé secrète.
Remarque

Exemple pour le contenu de la clé secrète créée avec des données masquées :
{
  "caCertOrderedList" : [
    "-----BEGIN CERTIFICATE-----\nxxxxxxxxxxx\n-----END CERTIFICATE-----",
    "-----BEGIN CERTIFICATE-----\nxxxxxxxxxxx\n-----END CERTIFICATE-----",
    "-----BEGIN CERTIFICATE-----\nxxxxxxxxxxx\n-----END CERTIFICATE-----"
  ],
  "certKeyPair": {
    "cert" : "-----BEGIN CERTIFICATE-----\nnxxxxxxxxxxx\n-----END CERTIFICATE-----",
    "key":  "-----BEGIN RSA PRIVATE KEY-----\nnnxxxxxxxxxxx\n-----END RSA PRIVATE KEY-----"
  }
}