Работа с профилями TLS

Профиль TLS – это набор параметров для настройки расшифровки TLS/SSL-соединений.

В профиле TLS вы можете настроить следующие параметры:

• Загрузить доверенный сертификат и закрытый ключ.

  В профиль TLS вам нужно загрузить один доверенный сертификат, который будет использоваться для подписи сертификатов для передачи клиентам, а также закрытый ключ этого сертификата, чтобы при использовании этого профиля была возможность расшифровывать TLS/SSL-соединения. Вы можете добавить корневой или промежуточный сертификаты либо заранее созданный самоподписанный сертификат. Безопаснее загружать промежуточный, а не корневой сертификат, чтобы в случае компрометации корневой сертификат не был скомпрометирован.

• Включить проверку сертификата сервера и разрешить трафик от серверов с недоверенными сертификатами.

  Вы можете включить проверку сертификата сервера, чтобы запрещать трафик от серверов с недоверенными сертификатами или с ошибками проверки сертификатов. Вы также можете разрешать трафик от таких серверов и подписывать сертификат сервера недоверенным сертификатом Kaspersky NGFW. Для этого вам нужно загрузить недоверенный сертификат и закрытый ключ для этого сертификата.

• Настроить списки исключений доменов и веб-категорий.

  Вы можете добавлять в профиль списки исключений доменов и веб-категорий, чтобы не нарушать работу служб, где технически невозможна или запрещена расшифровка зашифрованных соединений.

Для профилей TLS соблюдаются следующие ограничения:

• В каждый профиль вы можете загрузить только один доверенный и один недоверенный сертификат.
• Вы можете загрузить только один закрытый ключ для доверенного сертификата и один закрытый ключ для недоверенного сертификата.
• Невозможно удалить загруженный доверенный сертификат. Вы можете только загрузить другой сертификат.
• Невозможно скачать сертификат или ключ из профиля.
• Если на устройстве и на созданной в нем системе VSS используются разные профили TLS, то при расшифровке трафика будет использован сертификат из профиля TLS на устройстве.

После добавления сертификата для расшифровки SSL-соединений требуется сделать этот сертификат доверенным для браузеров на компьютерах пользователей. Для этого вам нужно добавить его в список доверенных в локальном хранилище на компьютерах пользователей.

При использовании некоторых браузеров (например, Mozilla Firefox) требуется также добавить сертификат в хранилище браузера.