Remarques :

Sécurisez vos applications à l'aide du pare-feu réseau OCI et d'OCI WAF Regional avec Let's Encrypt Certificates

Introduction

Dans un paysage façonné par une transformation numérique généralisée, la sauvegarde de vos applications n'est plus facultative - c'est une priorité critique. Alors que les entreprises migrent leurs workloads vers Oracle Cloud Infrastructure (OCI), la mise en œuvre d'une défense forte contre les cybermenaces est essentielle. OCI propose un large éventail d'outils pour renforcer vos applications. Dans ce tutoriel, nous vous expliquerons comment protéger vos ressources numériques à l'aide d'OCI Network Firewall et d'OCI Web Application Firewall (WAF) régional/local.

Modèle

Pourquoi ce tutoriel est-il essentiel ?

Au fur et à mesure que vos applications communiquent avec le monde extérieur, elles font face au défi toujours présent des menaces de cybersécurité. Ce tutoriel vous aide à créer une défense multicouche, protégeant vos applications contre les menaces connues et émergentes en tirant parti de la puissance d'OCI Network Firewall et d'OCI WAF régional. Nous explorerons des concepts importants, notamment la prise en charge multi-domaines et la génération ou le renouvellement de certificats X.509 à l'aide d'outils standard. De plus, nous allons nous pencher sur l'utilisation du service gratuit et largement reconnu Chiffrons. Grâce à cela, vous acquerrez une compréhension complète des pratiques essentielles pour sécuriser vos applications.

Pour qui est ce tutoriel ?

Ce tutoriel est conçu pour les architectes cloud, les professionnels de la sécurité et les développeurs qui recherchent une compréhension complète des fonctionnalités de sécurité OCI. Que vous soyez un professionnel chevronné du cloud ou que vous commenciez tout juste votre transition vers la sécurité du cloud, ce tutoriel vous donnera les compétences nécessaires pour créer une défense robuste autour de vos applications.

Qu'est-ce qu'OCI Network Firewall ?

Oracle Cloud Infrastructure Network Firewall représente un service de pare-feu géré de pointe conçu à l'aide de Palo Alto Networks. C'est une technologie de pare-feu de nouvelle génération (NGFW). Il offre des fonctionnalités de pare-feu basées sur le machine learning pour protéger vos workloads OCI et est facile à utiliser sur OCI. En tant qu'offre de pare-feu en tant que service native OCI, OCI Network Firewall vous permet de tirer parti des fonctionnalités de pare-feu sans avoir à configurer et gérer une infrastructure de sécurité supplémentaire. L'instance OCI Network Firewall est hautement évolutive avec une haute disponibilité intégrée et peut être créée dans un réseau cloud virtuel (VCN) et un sous-réseau de votre choix.

Le service OCI Network Firewall fournit des informations approfondies sur le flux de données entrant dans vos environnements cloud, traitant à la fois la communication entrante et inter-sous-réseau ou inter-VCN. En substance, il offre une visibilité sur le trafic réseau Nord-Sud et le trafic réseau Est-Ouest. Pour plus d'informations, reportez-vous à Pare-feu réseau OCI.

Qu'est-ce qu'OCI Web Application Firewall régional/local ?

OCI Web Application Firewall (WAF) est un service de sécurité cloud qui aide à protéger les applications Web contre les attaques et les menaces de sécurité courantes telles que l'injection SQL, les scripts intersites (XSS) et le déni de service distribué (DDoS). OCI WAF régional est la dernière version de WAF qui est généralement déployée au niveau régional, intégrée à OCI Load Balancer pour fournir un mécanisme de défense flexible et évolutif. Pour plus d'informations, reportez-vous à OCI Web Application Firewall.

Architecture

Architecture

Cette architecture proposée comprendra une protection totale pour les charges globales de location à l'aide des composants suivants.

Diagramme de flux de données

Le flux de données réseau peut être facilement vu dans le diagramme réseau suivant, les demandes entrantes en lignes vertes, les réponses en lignes rouges.

Architecture

Ce diagramme respecte les meilleures pratiques de déploiement du pare-feu réseau OCI pour le trafic Nord-Sud. Au stade initial, le trafic entrant (représenté en vert et fonctionnant au niveau de la couche 7) est dirigé via la passerelle Internet. Une table de routage est associée à la passerelle Internet pour détourner tout le trafic ciblant le sous-réseau d'équilibreur de charge (192.168.6.0/24) vers l'adresse IP privée NGFW. Cela permettra de s'assurer que le trafic entrant traversera le NGFW pour inspection.

Après le flux réseau, le trafic passe au pare-feu réseau OCI ou au pare-feu de nouvelle génération (NGFW) à partir de la passerelle Internet. Il convient de noter que le pare-feu réseau OCI reçoit le trafic de manière transparente sans mettre fin à la connexion TLS/SSL. Le pare-feu réseau OCI applique des profils de décryptage pour décrypter le trafic TLS, ce qui permet une inspection approfondie des paquets. Pour plus d'informations, reportez-vous à Utilisation du pare-feu réseau OCI pour le décryptage SSL.

Une fois que le pare-feu réseau OCI inspecte minutieusement le trafic, il passe à l'équilibreur de charge OCI, qui met d'abord fin à la connexion TLS/SSL. Le service WAF attaché effectue ensuite une inspection approfondie des paquets sur le trafic décrypté afin de s'assurer qu'il est propre avant de le transmettre aux serveurs back-end. L'équilibreur de charge exécute ensuite le routage d'équilibrage de charge et lance une connexion secondaire au serveur back-end sélectionné.

Pour le trafic de retour provenant des serveurs back-end, les serveurs back-end répondent initialement à l'équilibreur de charge OCI (illustré en rouge et fonctionnant au niveau de la couche 7). Une fois l'équilibreur de charge atteint, le service WAF attaché inspecte d'abord le trafic renvoyé pour s'assurer qu'il respecte les normes de sécurité. Après l'inspection WAF, l'équilibreur de charge achemine le trafic vers une adresse IP privée où le pare-feu réseau OCI effectue des vérifications de sécurité supplémentaires sur la réponse. Une fois inspecté par le pare-feu, le trafic est acheminé vers la passerelle Internet en fonction de la table de routage associée au sous-réseau NGFW. A partir d'IGW, le trafic renvoyé est acheminé vers le client d'origine via Internet.

Objectifs

L'objectif principal de ce tutoriel est de permettre aux utilisateurs de renforcer leurs workloads cloud en configurant efficacement OCI WAF régional en conjonction avec OCI Network Firewall. En intégrant des certificats X.509 signés de Let's Encrypt pour le front-end de l'équilibreur de charge OCI, les utilisateurs peuvent garantir une connexion sécurisée et validée. Le tutoriel guide également les utilisateurs dans l'implémentation des meilleures pratiques OCI Network Firewall pour le trafic Nord-Sud, en déployant une application OCI Load Balancer. En particulier, cette configuration désigne stratégiquement l'équilibreur de charge OCI comme le seul composant utilisant un certificat non auto-signé - Chiffrons le certificat, tandis que d'autres éléments utilisant Transport Layer Security (TLS) utilisent des certificats auto-signés sans tracas, qui sont plus faciles à gérer.

Prérequis

Tâche 1 : déploiement local d'OCI Web Application Firewall

Le premier composant que nous allons déployer est WAF local.

  1. Connectez-vous à la console OCI et cliquez sur Pare-feu d'applications Web.

    Menu 1 WAF

  2. Dans Stratégies, cliquez sur Créer une stratégie WAF et entrez les informations suivantes. Fournissez les informations relatives au jeu de transport, puis cliquez sur Suivant.

    Menu 1 WAF

  3. Dans Stratégie de contrôle d'accès, sélectionnez Activer le contrôle d'accès si nécessaire. Pour plus d'informations, reportez-vous à Contrôles d'accès pour les stratégies Web Application Firewall.

    Menu 1 WAF

  4. Dans Stratégie de limitation de débit, sélectionnez Activer pour configurer les règles de limitation de débit si la limitation de débit est nécessaire. Pour plus d'informations, reportez-vous à Limitation de taux pour Web Application Firewall.

    Menu 1 WAF

  5. Dans Protections, sélectionnez Activer pour configurer les règles de protection si la configuration de la protection est nécessaire. Pour plus d'informations, reportez-vous à Protections pour Web Application Firewall.

    Menu 1 WAF

  6. Dans Sélectionner un point d'application, ce menu a pour but d'attacher les stratégies WAF nouvellement créées à un équilibreur de charge existant. Si aucun équilibreur de charge n'a été créé ou n'est disponible pour le moment, vous pouvez ignorer cette étape et attacher les stratégies lors de la création de l'équilibreur de charge.

    Menu 1 WAF

Tâche 2 : signature du certificat du serveur avec cryptage

Dans ce tutoriel, nous allons utiliser un service public gratuit appelé Let's Encrypt pour signer notre certificat de serveur. Par conséquent, le certificat de chaîne apparaîtra comme suit :

1.-End-user Certificate - Issued to: *.example.com; Issued By: Let’s Encrypt R3
2.-Intermediate Certificate 1 - Issued to: Let’s Encrypt R3 (RSA 2048, O = Let's Encrypt, CN = R3); Issued By: Signed by ISRG Root X1:ISRG Root X1 (RSA 4096, O = Internet Security Research Group, CN = ISRG Root X1)
3.-Root certificate - Issued by and to: ISRG Root X1 (RSA 4096, O = Internet Security Research Group, CN = ISRG Root X1) , Selfsigned

In PEM format:

-----BEGIN CERTIFICATE-----
MDIxCzAJBgNVBAYTAlVTMRYwFAYDVQQKEw1MZXQncyBFbmNyeXB0MQswCQYDVQQD
EwJSMzAeFw0yNDAxMTUxNjAyMTNaFw0yNDA0MTQxNjAyMTJaMBgxFjAUBgNVBAMM
DSouZnd0ZXN0LnNpdGUwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQC1
3NkuEB3r0m/cIWjYBvXEg8QAcib3QjkGO2YwDRu9IwjyxTYTqiWp0F8ZYh2hM1zP
...xxxx
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
oIEdyb3VwMRUwEwYDVQQDEwxJU1JHIFJvb3QgWDEwHhcNMjAwOTA0MDAwMDAw
WhcNMjUwOTE1MTYwMDAwWjAyMQswCQYDVQQGEwJVUzEWMBQGA1UEChMNTGV0J3Mg
RW5jcnlwdDELMAkGA1UEAxMCUjMwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEK
AoIBAQC7AhUozPaglNMPEuyNVZLD+ILxmaZ6QoinXSaqtSu5xUyxr45r+XXIo9cP
R5QUVTVXjJ6oojkZ9YI8QqlObvU7wy7bjcCwXPNZOOftz2nwWgsbvsCUJCWH+jdx
sxPnHKzhm+/b5Dt....XXXX
-----BEGIN CERTIFICATE-----
oOFTJOwT2e4ZvxCzSow/iaNhUd6shweU9GNx7C7ib1uYgeGJXDR5
bHbvO5BieebbpJovJsXQEOEO3tkQjhb7t/eo98flAgeYjzYIlefiN5YNNnWe+w5y
sR2bvAP5SQXYgd0FtCrWQemsAXaVCg/Y39W9Eh81LygXbNKYwagJZHduRze6zqxZ
Xmidf3LWicUGQSk+WT7dJvUsWqNMQB9GoZm1pzpRboY7nn1ypxIFeFntPlF4
FQsDj43QLwWyPntKHEtzBRL8xurgUBN8Q5N0s8p0544fAQjQMNRbcTa0B7rBMDBc
SLeCO5imfWCKoqMpgsy6vYMEG6KDA0Gh1gXxG8K28Kh8hjtGqEgqiNx2mna/H2ql
PRmP6zjzZN7IKw0KKP/32+IVQtQi0Cdd4Xn+GOd....xxx
-----END CERTIFICATE-----

Donc, avant d'utiliser Let's Encrypt, nous devons installer certains logiciels qui nous aideront à créer notre certificat Let's Encrypt ou à signer une CSR à signer. Pour plus d'informations, reportez-vous à Cryptage.

Pour signer, nous allons utiliser le certbot de Let's Encrypt. Pour plus d'informations sur les instructions de configuration, voir Configurer les instructions. Pour l'installer sur Oracle Linux, reportez-vous à Chiffrement - Certificats gratuits sur Oracle Linux (CertBot).

Une fois que vous avez installé certbot, vous pouvez facilement créer un certificat x.509 signé en exécutant la commande suivante.

sudo certbot certonly --manual --preferred-challenges=dns --email YOUR EMAIL ADDRESS --server https://acme-v02.api.letsencrypt.org/directory --agree-tos -d *.example.com --key-type rsa

Etant donné que nous utilisons un domaine générique (_.example.com), certbot nécessite un défi de vérification pour confirmer la propriété de _.example.com. Nous choisissons la question de vérification DNS à l'aide de l'option –preferred-challenges=dns. Pendant l'exécution de certbot, nous recevrons un message sur la question de vérification DNS, comme illustré dans l'image suivante.

Défi DNS Certbot

Etant donné que nous utilisons un service DNS OCI, nous créons simplement un enregistrement txt dans la zone example.com.

Défi DNS TXT OCI

Maintenant, certbot doit terminer le processus, vous permettant d'obtenir le certificat de l'utilisateur final, avec la chaîne CA complète et sa clé privée correspondante. Nous utiliserons ce certificat utilisateur final (avec sa chaîne complète) pour le processus d'écoute HTTPS de l'équilibreur de charge ultérieurement dans ce tutoriel.

Tâche 3 : configuration de l'équilibreur de charge OCI

Une fois la configuration d'OCI WAF local terminée, notre prochain objectif est de déployer l'équilibreur de charge OCI dans la couche 4 à 7, également appelée équilibreur de charge flexible OCI, afin de servir de service public avec un local WAF attaché à lui.

  1. Ouvrez la console OCI, cliquez sur Fonctions de réseau et sur Equilibreur de charge.

    Load Balancer 1

  2. Cliquez sur Créer un équilibreur de charge, entrez les informations suivantes, puis cliquez sur Suivant.

    • Nom de l'équilibreur de charge : entrez son nom.

    • Choisir le type de visibilité : sélectionnez l'équilibreur de charge public.

    • Bande passante : sélectionnez la forme de l'équilibreur de charge et d'autres détails de configuration.

    • Choisir un réseau : sélectionnez un VCN avec au moins deux sous-réseaux publics, l'un pour OCI Load Balancer et l'autre pour OCI Network Firewall.

      Equilibreur de charge - Menu principal

    • Afficher les options avancées : cochez Utiliser une stratégie de pare-feu d'application Web pour vous protéger contre les attaques de couche 7 et choisissez le WAF local créé précédemment.

      Equilibreur de charge - Menu principal/Option avancée

  3. Ignorez la section Choisir des back-ends, car nous ajouterons des serveurs back-end ultérieurement une fois l'équilibreur de charge créé, puis cliquez sur Suivant.

  4. Dans Configurer le processus d'écoute, entrez les informations suivantes et cliquez sur Suivant.

    Menu Load Balancer Listener

    Nous allons configurer les processus d'écoute d'équilibreur de charge de demandes entrantes, qui constituent essentiellement le point d'entrée principal de l'équilibreur de charge, où nous recevons toutes les connexions en provenance du monde extérieur. Nous devrons configurer HTTPS pour HTTP sécurisé sur le port par défaut 443, ce qui nécessite inévitablement l'utilisation de certificats X.509 (certificats SSL). En utilisant HTTPS, nous veillerons à ce que toutes les connexions soient cryptées en toute sécurité.

    Dans un scénario typique où l'équilibreur de charge public sert de point d'entrée principal pour les utilisateurs finaux sur Internet, il est impératif de télécharger des certificats SSL signés par une autorité de certification publique réputée, telle que Digicert, Global Sign, Let's Encrypt, etc. En outre, ces certificats exposés à Internet doivent être renouvelés près de leur date d'expiration pour s'assurer que les clients ne rencontrent pas de messages inutiles tels que Votre connexion n'est pas privée ! ! ERR_CERT_DATE_INVALID.

    Cela étant dit, vous devrez télécharger les détails publics et privés du certificat Let's Encrypt que vous avez créé. Assurez-vous que les deux composants sont correctement téléchargés pour faciliter les connexions sécurisées. Assurez-vous de télécharger le certificat fullchain (qui inclut les autorités de certification intermédiaires et/ou racine) dans la partie publique.

  5. La gestion de la journalisation est une configuration facultative qui ne fait pas partie de la portée de ce tutoriel. Cliquez sur Soumettre.

  6. Au bout d'un certain temps, l'équilibreur de charge sera créé. Maintenant, nous devons configurer les serveurs back-end. Etant donné que SSL sera utilisé pour les serveurs back-end, nous devons d'abord créer au moins un certificat dans la section de certificat de l'équilibreur de charge qui sera utilisée pour configurer la connexion SSL vers les serveurs back-end. Comme décrit ci-dessus, ce groupe de certificats peut être créé manuellement avec des outils tiers ou vous pouvez utiliser le service OCI Certificates manage. Pour ce tutoriel, nous allons utiliser l'outil XCA.

    Accédez à Fonctions de réseau, Equilibreurs de charge, Equilibreur de charge, Détails de l'équilibreur de charge et Certificats.

  7. Dans la section Certificat, sélectionnez Ressource de certificat dans Gestion du certificat par l'équilibreur de charge, puis cliquez sur Ajouter un certificat.

    Source du certificat d'équilibreur de charge

    Ajoutez le certificat CA racine ou intermédiaire public que vous avez utilisé pour signer les certificats SSL du serveur back-end. Pour rappel, nous avons utilisé des certificats autosignés avec n'importe quel nom commun et SAN, et sans date d'expiration. Vous n'avez pas besoin d'installer de certificat de serveur ici, car l'équilibreur de charge utilisera uniquement l'autorité de certification racine pour la validation de certificat de serveur back-end.

    Equilibreur de charge - Ajout d'un certificat

  8. Pour créer les serveurs back-end, sélectionnez Ensembles de back-ends et cliquez sur Créer un ensemble de back-ends.

    Ensemble de back-ends d'équilibreur de charge 1

  9. Dans Créer un ensemble de back-ends, saisissez les informations suivantes :

    • Nom d'ensemble de back-ends : entrez le nom de l'ensemble de back-ends.
    • Sélectionnez SSL.
    • Sélectionnez Gestion du certificat par l'équilibreur de charge.
    • Ajoutez le certificat que vous avez créé à l'étape 7. Si vous voulez vous assurer que l'équilibreur de charge vérifie la signature de certificat SSL reçue, cliquez sur Vérifier le certificat homologue.
    • Vérifications de l'état:
      • Protocole : sélectionnez HTTP.
      • Port : sélectionnez le port 443.
      • Intervalles et délai d'expiration : conservez l'intervalle et le délai d'expiration par défaut (10000 et 3000 ms).
      • Pour la réponse d'intégrité de la vérification de l'état, sélectionnez 200.
      • Chemin d'URL (URI) : ajoutez toute ressource à partir d'une URL qui existe sur le serveur Web. Par exemple : index.html, mainpage.html etc.

    Ensemble de back-ends d'équilibreur de charge 1

Tâche 4 : configuration du pare-feu réseau OCI

Une fois l'équilibreur de charge OCI configuré, notre objectif est de configurer un pare-feu réseau OCI pour protéger le trafic Nord-Sud. Le pare-feu sera positionné entre l'équilibreur de charge nouvellement configuré et la passerelle Internet. Pour poursuivre la configuration du pare-feu réseau OCI, reportez-vous à Utilisation du pare-feu réseau OCI pour le proxy de transfert SSL et l'inspection entrante à l'aide de la règle de décryptage et effectuez les opérations suivantes.

Tâche 5 : configuration du routage OCI

Le pare-feu réseau OCI a été déployé. Nous devons nous assurer que le trafic Nord-Sud le traverse dans les deux sens. La première chose à faire est de créer une table de routage dédiée pour la passerelle Internet associée au VCN où se trouve le pare-feu réseau OCI.

  1. Créez la table de routage dans le VCN et ajoutez une entrée de type de cible en tant que private IP, destination en tant que bloc CIDR, en introduisant le bloc CIDR de sous-réseau de l'équilibreur de charge, pour ce tutoriel 192.168.6.0/24 et cible en tant qu'adresse IP privée affectée au pare-feu réseau OCI déployé dans la tâche 6.

    Table de routage GW Internet

  2. Associez la table de routage à la passerelle Internet, cliquez sur trois points, puis sur Associer la table de routage et sélectionnez la table de routage.

    Table de routage GW Internet

  3. Une fois que cette table de routage est associée à la passerelle Internet, tout le trafic dirigé vers l'équilibreur de charge public 192.168.6.0/24 sera initialement redirigé vers l'adresse IP privée 192.168.5.78, où réside le pare-feu réseau OCI.

    A partir de l'adresse IP privée OCI Network Firewall 192.168.5.78, après l'inspection des paquets à partir d'OCI Network Firewall, le paquet continuera son parcours vers OCI Load Balancer. A partir de là, ils sont dirigés vers leur destination finale parmi les serveurs back-end sélectionnés, déterminée par la configuration de routage de l'équilibreur de charge.

    Désormais, il est essentiel de s'assurer que les paquets renvoyés aux utilisateurs d'Internet suivent le même chemin dans l'ordre inverse, en passant par le pare-feu réseau OCI pour l'inspection des réponses. Nous devons créer une table de routage pour le sous-réseau public de l'équilibreur de charge afin d'acheminer les réponses à partir des serveurs back-end via l'adresse IP privée OCI Network Firewall 192.168.5.78, comme indiqué dans l'image suivante.

    table de routage d'équilibreurs de charge

A partir du sous-réseau OCI Network Firewall, nous devons nous assurer que les réponses sont acheminées vers la passerelle Internet en ajoutant un routage 0.0.0.0/0 à la passerelle Internet.

Table de routage de pare-feu réseau

Une fois la passerelle Internet atteinte, les packages sont redirigés vers leur source. Pour tester, accédez à https://www.test.com.

Table de routage GW Internet

Remerciements

Ressources de formation supplémentaires

Explorez d'autres ateliers sur docs.oracle.com/learn ou accédez à d'autres contenus de formation gratuits sur le canal Oracle Learning YouTube. De plus, visitez le site education.oracle.com/learning-explorer pour devenir un explorateur Oracle Learning.

Pour obtenir la documentation produit, consultez le site Oracle Help Center.