配置 SSL 代理

• 配置根证书颁发机构证书，请参阅注册 证书

• 加载 证书颁发机构配置文件组，请参阅注册 证书

• 配置 SSL 代理配置文件并关联根证书颁发机构证书和 CA 证书颁发机构配置文件组

• 通过定义输入流量匹配标准创建安全策略

• 将 SSL 代理配置文件应用于安全策略

• 可选步骤，例如创建允许列表和 SSL 代理日志记录

SSL 代理作为安全策略中的应用服务启用。在安全策略中，指定要启用 SSL 代理的流量作为匹配标准，然后指定要应用于流量的 SSL 代理证书颁发机构配置文件。

要在安全策略中启用 SSL 代理：

此示例假定您已创建信任和不信任安全区域，并为从信任区域到非信任区域的流量创建安全策略。

配置 SSL 代理时，可以选择设置接收部分或全部日志的选项。SSL 代理日志包含逻辑系统名称、SSL 代理允许列表、策略信息、SSL 代理信息以及其他有助于在发生错误时进行故障排除的信息。

您可以配置日志记录 all 或特定事件，例如错误、警告和信息事件。您还可以配置在发生错误后被列入允许列表、删除、忽略或允许的会话的日志记录。

您可以使用选项启用 enable-flow-tracing 调试跟踪。

Junos OS 允许您配置一个选项以完全忽略服务器身份验证。如果将系统配置为忽略身份验证，那么在 SSL 握手时服务器证书验证期间遇到的任何错误都将被忽略。通常被忽略的错误包括无法验证证书颁发机构签名、证书到期日期不正确等。如果未设置此选项，那么在遇到错误时，服务器发送自签名证书的所有会话都将被丢弃。

我们不建议使用此选项进行身份验证，因为配置它会导致网站根本无法通过身份验证。但是，您可以使用此选项有效确定 SSL 会话丢失的根本原因。

在配置模式下，指定以忽略服务器身份验证：

代理模型实现（反向代理）增强了服务器保护。它改进了握手并支持更多协议版本。您可以在 SSL 反向代理解密流量上启用第 7 层服务，如应用安全、IPS、内容安全性和 ATP 云。

建议使用 SSL 反向代理以及入侵检测和防御 （IDP），而不是使用 IDP SSL 检测功能。在最近发布的 Junos OS 中，IDP SSL 检测已被弃用，而非立即删除，目的是提供向后兼容性，并让您的配置符合新配置。

反向代理功能：

• 终止防火墙上的客户端 SSL，并发起与服务器的新 SSL 连接。解密来自客户端/服务器的 SSL 流量，并在发送到服务器/客户端之前再次加密（检查后）。

• 支持所有当前协议版本。

• • 支持 RSA

  • 支持 DHE 或 ECDHE

• 使用现有 SSL 转发代理，并在其下添加 TCP 代理。

• 与转发代理一样，解密的 SSL 流量可用于所有安全服务。

• 支持所有常用密码。

您必须在 SSL 代理配置文件中进行root-caserver-certificate配置。否则，提交检查将失败。有关支持的配置的详细信息，请参阅下表。

支持配置正向和反向代理配置文件的多个实例。但是，对于给定的防火墙策略，只能配置一个配置文件（正向或反向代理配置文件）。还支持在同一设备上配置正向和反向代理。

对于给定的防火墙策略，您不能使用新的反向代理实施来配置之前的反向代理实施。如果同时配置了两者，您将收到一条提交检查失败消息。

以下是配置反向代理的最低步骤：

此示例说明如何配置反向代理以启用服务器保护。此外，为了服务器保护，还必须配置带有私钥的服务器证书。

反向代理通过向客户端隐藏服务器的详细信息来保护服务器，从而增加额外的安全层。

要配置 SSL 反向代理，您必须：

• 将服务器证书及其密钥加载到防火墙的证书存储库中。

• 将服务器证书标识符附加到 SSL 代理配置文件。

• 将 SSL 代理配置文件应用为安全策略中的应用服务。

要配置 SSL 反向代理：

使用以下步骤在 SSL 代理配置文件中配置预定义的 URL 类别。

使用以下步骤在 SSL 代理配置文件中配置自定义 URL 类别。