Режим TLS
|
Режим шифрования TLS. При использовании шифрования TLS вы не можете указать IP-адрес в поле URL на вкладке Основные параметры. Доступные значения:
- Выключено – не использовать шифрование TLS. Это значение выбрано по умолчанию.
- Включено – использовать шифрование TLS, но без верификации сертификатов.
- С верификацией – использовать шифрование TLS с верификацией сертификата, подписанного корневым сертификатом KUMA. Корневой сертификат и ключ KUMA создаются автоматически при установке программы и помещаются на сервер Ядра KUMA в директорию /opt/kaspersky/kuma/core/certificates.
- Нестандартный CA – использовать шифрование TLS с верификацией сертификата, подписанного центром сертификации. При выборе этого значения в раскрывающемся списке Нестандартный CA укажите секрет с сертификатом, подписанным центром сертификации. Вы можете выбрать существующий секрет или создать новый секрет. Для создания нового секрета выберите значение Создать.
Если вы хотите изменить параметры существующего секрета, нажмите рядом с ним на значок карандаша .
Как создать сертификат, подписанный центром сертификации?
Вы можете создать сертификат, подписанный центром сертификации, на сервере Ядра KUMA (в примерах команд ниже используется OpenSSL).
Чтобы создать сертификат, подписанный центром сертификации:
- Создайте ключ, который будет использоваться центром сертификации, например:
openssl genrsa -out ca.key 2048
- Создайте сертификат для созданного ключа, например:
openssl req -new -x509 -days 365 -key ca.key -subj "/CN=< общее имя хоста центра сертификации >" -out ca.crt
- Создайте приватный ключ и запрос на его подписание в центре сертификации, например:
openssl req -newkey rsa:2048 -nodes -keyout server.key -subj "/CN=< общее имя хоста сервера KUMA >" -out server.csr
- Создайте сертификат, подписанный центром сертификации. Вам нужно включить в переменную
subjectAltName доменные имена или IP-адреса сервера, для которого вы создаете сертификат, например:openssl x509 -req -extfile <(printf "subjectAltName=DNS:domain1.ru,DNS:domain2.com,IP:192.168.0.1") -days 365 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt
- Загрузите созданный сертификат
server.crt в веб-интерфейсе KUMA в секрет с типом certificate, после чего в раскрывающемся списке Нестандартный CA выберите секрет с типом certificate.
Для использования сертификатов KUMA на сторонних устройствах вам нужно изменить расширение файла сертификата с CERT на CRT. В противном случае вы можете получить ошибку x509: certificate signed by unknown authority .
- Нестандартный PFX – использовать шифрование TLS с PFX-секретом. Вам нужно сформировать PFX-сертификат с закрытым ключом в формате PKCS#12-контейнера во внешнем центре сертификации, экспортировать PFX-сертификат из хранилища, после чего загрузить PFX-сертификат в веб-интерфейс KUMA в виде PFX-секрета. При выборе этого значения в раскрывающемся списке PFX секрет укажите PFX-секрет с сертификатом, подписанным центром сертификации. Вы можете выбрать существующий PFX-секрет или создать новый PFX-секрет. Для создания нового PFX-секрета выберите значение Создать.
Если вы хотите изменить параметры существующего секрета, нажмите рядом с ним на значок карандаша .
Как создать PFX-секрет?
Чтобы создать PFX-секрет:
- В поле Название введите название PFX-секрета.
- Нажмите на кнопку Загрузить PFX и выберите файл в формате PKCS#12-контейнера, в который вы экспортировали PFX-сертификат с закрытым ключом.
- В поле Пароль введите пароль для защиты PFX-сертификата, указанный в мастере экспорта PFX-сертификата.
- Нажмите на кнопку Создать.
PFX-секрет будет создан и отобразится в раскрывающемся списке PFX секрет.
|