Создание профиля TLS

Вы можете создать максимум 64 пользовательских профиля.

Чтобы создать профиль TLS:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите на вкладку Объекты и выберите Профили TLS.
3. В верхней части рабочей области нажмите на кнопку Создать.

   Откроется раздел Общее окна создания профиля TLS.

4. В поле Название введите название нового профиля.

   Название профиля должно быть уникальным в таблице профилей TLS.

   Максимальная длина – 128 символов.

5. При необходимости в поле Описание введите произвольное описание профиля.

   Максимальная длина – 1024 символа.

6. В раскрывающемся списке Минимальная поддерживаемая версия TLS для расшифровки выберите версию протокола TLS/SSL, чтобы блокировать соединения по протоколу TLS/SSL ниже этой версии.

   Вы можете задать только минимальную поддерживаемую версию протокола. Чтобы обеспечить максимальную безопасность, мы рекомендуем устанавливать версию TLS-протокола не ниже 1.2.

   Если соединение устанавливается по протоколу версии ниже выбранной, такое соединение блокируется и Kaspersky NGFW отправляет TCP RST в обе стороны.

7. Добавьте доверенный сертификат. Для этого в блоке параметров Доверенный сертификат CA нажмите на кнопку Загрузить и в открывшемся окне выберите нужный файл сертификата. Если сертификат не может быть загружен, отобразится сообщение об ошибке с описанием причины.

   Сертификат должен соответствовать следующим требованиям:

   • Файл должен быть текстового формата (PEM) или бинарного формата (ASN.1).
   • Рекомендуется использовать файл с расширениями .crt, .cer, .cert, .pem, .der. При этом допускается использовать другие форматы.
   • Максимальный размер файла – 64 КБ.
   • Поддерживаются следующие алгоритмы шифрования:
     • ED25519;
     • RSA.
   • Максимальная поддерживаемая длина ключа:
     • для ключей ED25519 – 256 бит;
     • для ключей RSA – 2048 бит.
   • Сертификат должен быть действующим. Вы не сможете загрузить просроченный сертификат или сертификат, срок действия которого еще не начался.
   • Значение поля Общее имя не должно быть пустым.
   • Значение поля Организация не должно быть пустым.
   • Сертификат должен быть с приватным ключом. Приватный ключ должен подходить к загруженному сертификату.

   Вы можете просмотреть сертификат, нажав Просмотреть. Невозможно скачать сертификат или удалить его. Вы можете только загрузить другой сертификат вместо уже загруженного.

8. Загрузите закрытый ключ сертификата. Для этого нажмите на кнопку Загрузить и в открывшемся окне выберите нужный файл закрытого ключа.

   Закрытый ключ должен соответствовать следующим требованиям:

   • Файл должен быть текстового формата (PEM) или бинарного формата (ASN.1).
   • Рекомендуется использовать файл с расширениями .crt, .cer, .cert, .pem, der. При этом допускается использовать другие форматы.
   • Максимальный размер файла – 64 КБ.
   • Гарантированно поддерживаются следующие алгоритмы шифрования:
     • ED25519;
     • RSA.

     Рекомендуется не использовать алгоритмы RSASSA-PSS with MD5, MD5WithRSA, SHA-1, DSA.

   • Максимальная поддерживаемая длина ключа:
     • для ключей ED25519 – 256 бит;
     • для ключей RSA – 2048 бит.
   • Поддерживается только AES-шифрование приватного ключа.

   Во избежание несанкционированного доступа к трафику файл закрытого ключа необходимо хранить в защищенном месте.

9. Если закрытый ключ защищен паролем, включите переключатель Ключ зашифрован и в поле Пароль введите пароль к закрытому ключу.
10. Если вы хотите включить проверку сертификата сервера, чтобы запрещать трафик от серверов с недоверенными сертификатами или с ошибками проверки сертификатов, выполните следующие действия:
    1. В блоке параметров Проверка сертификата включите переключатель Проверять сертификат сервера.

       Перед включением проверки сертификата сервера убедитесь, что в качестве VRF в разделе Системные службы для системных служб указан Management.

    2. Выберите Действие над сессией в случае ошибок сертификата сервера:
       • Блокировать – если возникает любая ошибка сертификата сервера, сессия блокируется и отправляется TCP RST в сторону клиента и в сторону сервера для TCP-сессий.
       • Разрешить с недоверенным сертификатом – сессия разрешается, сертификат сервера будет подписан недоверенным корневым сертификатом.
    3. При необходимости включите ведение журнала при ошибках сертификата сервера. В этом случае в журнал инспектирования TLS будут записываться причины ошибок проверки сертификата.
    4. При выборе действия Разрешить с недоверенным сертификатом загрузите недоверенный сертификат в блоке параметров Недоверенный сертификат CA и закрытый ключ к нему в блоке параметров Закрытый ключ для недоверенного сертификата CA.

       Порядок загрузки недоверенного корневого сертификата и закрытого ключа и требования к ним аналогичны описанным в пунктах 7 и 8 для доверенного корневого сертификата и ключа.

11. Нажмите Сохранить, чтобы сохранить изменения.

Профиль TLS будет создан и появится в таблице профилей TLS.