Проверка сертификата сервера и загрузка недоверенного сертификата

Вы можете включить проверку сертификата сервера, чтобы запрещать трафик от серверов с недоверенными сертификатами или с ошибками проверки сертификатов. Вы также можете разрешать трафик от таких серверов и подписывать сертификат сервера недоверенным сертификатом Kaspersky NGFW. Для этого вам нужно загрузить недоверенный сертификат и закрытый ключ для этого сертификата. Также вам нужно добавить список доверенных сертификатов сервера с помощью командной строки, используя команду load внутри команды tls trusted trusted-certificates=['<имя сертификата СА>'] в семействе команд tls. Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.

Добавление списка доверенных сертификатов сервера доступно только через командную строку.

Перед включением проверки сертификата сервера убедитесь, что в качестве VRF в разделе Системные службы для системных служб указан Management.

Чтобы включить проверку сертификата:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.

   Откроется вкладка Политика.

2. В разделе Инспектирование SSL выберите Общее.
3. Установите переключатель Расшифровать зашифрованные соединения в положение Вкл.
4. В блоке параметров Проверка сертификата установите переключатель Проверять сертификат сервера в положение Вкл.
5. Выберите Действие над сессией в случае ошибок сертификата сервера:
   • Блокировать – если возникает любая ошибка сертификата сервера, сессия блокируется и отправляется TCP RST в сторону клиента и в сторону сервера для TCP-сессий.
   • Разрешить с недоверенным сертификатом – сессия разрешается, сертификат сервера будет подписан недоверенным корневым сертификатом.
6. При необходимости включите ведение журнала при ошибках сертификата сервера. В этом случае в журнал Инспектирования SSL будут записываться причины ошибок проверки сертификата.
7. При выборе действия Разрешить с недоверенным сертификатом загрузите недоверенный сертификат:
   1. В блоке параметров Недоверенный сертификат CA добавьте сертификат. Для этого нажмите на кнопку Выбрать и в открывшемся окне выберите нужный файл сертификата. Если сертификат не может быть загружен, отобразится сообщение об ошибке с описанием причины.

      Сертификат должен соответствовать следующим требованиям:

      • Файл должен быть текстового формата (PEM) или бинарного формата (ASN.1).
      • Рекомендуется использовать файл с расширениями .crt, .cer, .cert, .pem. При этом допускается использовать другие форматы.
      • Сертификат должен быть действующим. Невозможно загрузить просроченный сертификат или сертификат, срок действия которого еще не начался.
      • Значение поля Общее имя не должно быть пустым.
      • Значение поля Организация не должно быть пустым.

      После успешной загрузки сертификата отобразится подробная информация об этом сертификате.

   2. В блоке параметров Закрытый ключ для недоверенного сертификата CA загрузите закрытый ключ сертификата. Для этого нажмите на кнопку Выбрать и в открывшемся окне выберите нужный файл закрытого ключа.

      Закрытый ключ должен соответствовать следующим требованиям:

      • ключ должен быть зашифрован паролем;
      • пароль должен подходить именно к загружаемому сертификату.
   3. В открывшемся окне введите пароль к закрытому ключу сертификата и нажмите ОК.
8. Примените изменения к политике OSMP, нажав на кнопку Применить и отправить.

Проверка сертификата сервера будет включена, недоверенный сертификат и закрытый ключ будут сохранены в политике Open Single Management Platform.

Во избежание несанкционированного доступа к трафику файл закрытого ключа необходимо хранить в защищенном месте.