Observação:

Criar Modelos JSON Totalmente Compatíveis com Certificados PEM Personalizados para o OCI Network Firewall

Introdução

O Oracle Cloud Infrastructure Network Firewall (OCI Network Firewall), uma solução robusta de segurança de rede, fornece recursos de segurança avançados, incluindo perfis de decriptografia. Esses perfis permitem que o firewall descriptografe e inspecione o tráfego SSL/TLS para obter segurança aprimorada.

Neste tutorial, simplificaremos o processo de geração de modelos JSON totalmente compatíveis com base em certificados PEM (Privacy Enhanced Mail), permitindo que você configure perfis de decriptografia de forma eficaz no OCI Network Firewall sem obter erros desnecessários de análise de segredos mapeados (ou seja, Falha no 'Segredo Mapeado' do Segredo Mapeado). Não é possível extrair segredo).

Para empregar regras de decriptografia de forma eficaz, é essencial estabelecer segredos mapeados para utilização em um perfil de decriptografia. Esses segredos mapeados são inicialmente criados no Oracle Cloud Infrastructure Vault e subsequentemente vinculados aos modos Inspeção de Entrada SSL ou Proxy de Encaminhamento SSL.

O que é o OCI Network Firewall

O Oracle Cloud Infrastructure Network Firewall representa um serviço de firewall gerenciado de ponta que é construído usando a Tecnologia de Firewall de Última Geração (NGFW) da Palo Alto Networks. Ele oferece recursos de firewall com tecnologia de machine learning para proteger suas cargas de trabalho da OCI e é fácil de consumir na OCI. Como uma oferta nativa de firewall como serviço da OCI, o OCI Network Firewall permite que você comece a aproveitar os recursos de firewall sem a necessidade de configurar e gerenciar infraestrutura de segurança adicional. A instância do OCI Network Firewall é altamente escalável com alta disponibilidade incorporada e pode ser criada em uma rede virtual na nuvem (VCN) e em uma sub-rede de sua escolha

O serviço Network Firewall fornece insights profundos sobre o fluxo de dados que entram em seus ambientes de nuvem, abordando a comunicação de entrada e intersub-rede/inter-VCN. Em essência, oferece visibilidade do tráfego de rede Norte-Sul e do tráfego de rede Leste-Oeste.

Seguindo este tutorial, você poderá criar os modelos JSON com base em certificados CA (incluindo intermediários) mais os pares de certificados públicos e privados necessários para decriptografia.

Objetivos

Pré-requisitos

Tarefa 1: Configurar Modelo JSON para Configurar Autenticação de Certificado

Criamos um script Linux para criar um arquivo JSON bem formatado com base em seus próprios certificados. Para obter mais informações, consulte Configurando a Autenticação de Certificado.

É assim que o arquivo JSON se parece.

{
 "caCertOrderedList" : [
   "ROOT_CERT01_PEM_CONTENT",
   "INTERMEDIATE_CERT01_PEM_CONTENT",
   "INTERMEDIATE_CERT02_PEM_CONTENT",
 ],
 "certKeyPair": {
   "cert" : "LEAF_CERT_01_PEM_CONTENT",
   "key":   "PRIVATE_KEY_01_PEM_CONTENT"
 }
}

Você pode aprender a criar o arquivo JSON com base nos certificados obrigatórios, dependendo do modo de decriptografia, da seguinte forma:

  1. Crie o arquivo JSON mencionado com seus certificados.

    • Certifique-se de ter acesso root a uma Linux VM. Recomendamos o Oracle Linux 7 ou superior.

    • Baixe e instale o OpenSSL.

    • Faça download do Perl e Instale-o.

  2. Copie o código a seguir.

    cat > certificates.json << EOF
{
"caCertOrderedList" : [
  "$(perl -pe 's/\n/\\n/' ca.cert.pem)"
  $(for ((i=1; i<=10; i++)); do
    intermediate_file="ca.intermediate${i}.pem"
    if [ -f "$intermediate_file" ]; then
        echo -n ", \"$(perl -pe 's/\n/\\n/' "$intermediate_file")\""
    fi
  done)
],
"certKeyPair": {
  "cert" : "$(perl -pe 's/\n/\\n/' cert.pem)",
  "key":   "$(perl -pe 's/\n/\\n/' key.pem)"
}
}
EOF

  3. Cole no arquivo Linux VM com a extensão sh.

    vi create_json.sh

  4. Pressione a tecla ESC, digite dois-pontos: : e digite wq. Pressione Enter para gravar o arquivo e sair do editor.

  5. Depois que o arquivo é criado, você precisa tornar o script executável.

    chmod +x create_json.sh

  6. Agora que temos o script pronto, precisamos trazer os certificados necessários para criar o arquivo JSON final. O script precisa dos seguintes nomes de arquivos PEM:

    • ca.cert.pem: Este é o certificado da CA RAIZ que foi usado para assinar o certificado do servidor Web interno em um modo de Entrada SSL. Além disso, pode ser a CA do Enterprise raiz que será usada em um modo Proxy de Encaminhamento.

    • ca.intermediateX.pem: Se a CA que está sendo usada tiver certificados intermediários/encadeados, adicione-os como ca.intermediate1.pem, ca.intermediate2.pem e assim por diante (até dez). Isso garantirá que os clientes não tenham problemas de autenticação se não estiverem instalados no armazenamento de CA Confiável.

    • cert.pem: Este é o certificado do servidor (público) que você está protegendo no Modo de Entrada SSL. Como alternativa, pode ser o certificado Enterprise CA em um modo Proxy de Encaminhamento.

    • key.pem: Esta é a chave privada do certificado do servidor que você está protegendo no Modo de Entrada SSL. Como alternativa, ela pode ser a chave privada do certificado da CA Enterprise em um modo Proxy de Encaminhamento.

  7. Executar o script.

    ./create_json.sh

    Ele gerará um arquivo chamado certificates.json que você pode copiar e colar facilmente em seu vault/segredo para ser usado em sua Política de Firewall de Rede do OCI.

Agradecimentos

Mais Recursos de Aprendizagem

Explore outros laboratórios em docs.oracle.com/learn ou acesse mais conteúdo de aprendizado gratuito no canal Oracle Learning YouTube. Além disso, visite education.oracle.com/learning-explorer para se tornar um Oracle Learning Explorer.

Para obter a documentação do produto, visite o Oracle Help Center.