NetdefendOS_2.27.01_Firewall_User_Manual_RUS

передачу незашифрованных данных, отправленных на сервер или полученных с сервера.
Преимущества этого подхода следующие:
• Поддержка TLS может быть централизована в межсетевом экране NetDefend вместо установки
на отдельных серверах.
• Можно централизованно управлять сертификатами на межсетевом экране NetDefend, а не на
отдельных серверах. Нет необходимости в том, чтобы уникальные сертификаты (или один «wildcard
certificate») присутствовали на каждом сервере.
• Дополнительная обработка шифрования / дешифрования, необходимая TLS, может быть
выполнена на межсетевом экране NetDefend. Эту обработку иногда называют SSL acceleration.
Любые полученные преимущества обработки могут изменяться и будут зависеть от возможностей
обработки, поддерживаемых серверами и межсетевым экраном NetDefend.
• Расшифрованный TLS-трафик может быть объектом для других функций NetDefendOS, таких
как traffic shaping или поиск потенциальных угроз для сервера с помощью IDP-сканирования.
• Протокол TLS может быть объединен с функцией балансировки нагрузки сервера (server load
balancing) системы NetDefendOS для обеспечения передачи трафика между серверами.
Включение TLS
Для того чтобы включить протокол TLS в NetDefendOS выполните следующие шаги:
1. Загрузите в NetDefendOS корневые сертификаты и сертификаты хоста для их использования TLSпротоколом.
2. Определите новый объект TLS ALG, соответствующие корневые сертификаты и сертификаты
хоста. Если сертификат самозаверяющий, то корневой сертификат и сертификат хоста должны быть
одинаковыми.
3. Создайте новый объект Служба на основе TCP-протокола.
4. Далее необходимо связать объект TLS ALG с недавно созданным объектом Служба.
5. Создайте IP-правило NAT или Allow для целевого трафика и свяжите объект службы с ним.
6. Дополнительно можно создать правило SAT, чтобы изменить порт назначения для
незашифрованного трафика. В качестве альтернативы для балансировки нагрузки можно
использовать правило SLB_SAT (порт назначения также может быть изменен с помощью
пользовательского объекта службы).
URL-адреса, рассылаемые серверами
Следует отметить, что использование NetDefendOS для терминации TLS не изменит URL-адреса
Web-cтраниц, рассылаемые серверами, которые находятся позади межсетевого экрана NetDefend.
Это означает, что если клиент подключается к Web-серверу, который находится позади межсетевого
экрана NetDefend, используя протокол https://, то любые Web-страницы, переданные обратно,
содержащие абсолютные URL-адреса, включающие протокол http:// (возможно, для ссылки на
другие страницы того же сайта), не будут иметь этих URL-адресов, так как они преобразованы
системой NetDefendOS в https://. Для решения этого вопроса серверы должны использовать
относительные URL-адреса, а не абсолютные
286