在 vSRX 虚拟防火墙 3.0 上部署 Microsoft Azure 硬件安全模块

目的

检查与 HSM 的连接。

行动

您可以使用 show security hsm status 命令验证 HSM 的状态。将显示以下信息：

• 如果 HSM 已启用且可访问或已禁用

• 是在 HSM 中创建的主绑定密钥（RSA 密钥对）

• 是否配置了主加密密钥 - 主加密密码状态（已设置或未设置）

• 云供应商信息

部署方案

本节提供一个部署方案，其中 vSRX 虚拟防火墙 3.0 实例作为虚拟网络中的网关启动，使用纯 IPsec 连接连接到数据中心。

部署方案如图 4 所示。

图 4：使用 IPsec 连接的 vSRX 虚拟防火墙部署方案

您可以使用用于 pkid 进程的 Microsoft Azure 云 HSM 服务生成密钥对，并使用这些密钥对从 CA 服务器获取本地证书。在 IKE 协商期间，使用云 HSM 服务中存在的密钥对进行私钥签名。

使用 HSM 服务在 Microsoft Azure 云中执行的 VPN 功能如 图 5 所示。

图 5：Microsoft Azure 云中带有 HSM 的 VPN 的组件

这里涉及的组件包括：

• 在 Microsoft Azure 云中推出的 vSRX 虚拟防火墙 3.0。

• 对等方 - 在 Azure 云中启动的第二个 vSRX 虚拟防火墙 3.0 实例。第一个 vSRX 虚拟防火墙 3.0 与对等方之间会建立隧道。

• 密钥保管库 - 在 Azure 云中启动的 HSM 服务。您可以在 vSRX 虚拟防火墙 3.0 和 HSM 之间进行交互。对等方可以在本地创建和存储密钥对。

• 证书颁发机构服务器 - vSRX 虚拟防火墙实例可以访问的任何 CA 服务器。CA 服务器在 Azure 云上启动。

此过程提供有关步骤，说明如何通过使用云 HSM 服务对 vSRX 虚拟防火墙进行身份验证，允许从 vSRX 虚拟防火墙访问 HSM。

1. 初始化与 HSM 服务的会话 - 每个需要与 HSM 交互的进程都必须初始化自己的单独会话。要实现 VPN 功能，您必须为所涉及的每台设备建立 2 个与 HSM 服务的会话。一个会话使用 pkid 进程建立，另一个会话使用 iked 进程建立。与 HSM 服务的这些会话仅在守护程序的初始化过程中建立一次。如果重新启动守护程序，则会与 HSM 服务建立新会话。使用 HSM 服务成功建立会话时，将返回有效的会话上下文。仅当启用了主加密密钥 （MEK） 时，才会与 HSM 服务建立会话。每个会话都是 vSRX 虚拟防火墙与云 HSM 之间的安全 TLS 连接。

2. 在 HSM 上处理密钥对 - 要在 HSM 上创建和存储密钥对，请使用命令 request security pki generate-key-pair certificate-id certificate-id-name <size> <type> 。

   注意：

   术语 certificate-id 只是与已生成的密钥对相关联的标识符。尚无与证书创建的连接。如果未提及类型和大小，则考虑 RSA 类型和 2048 大小的默认值。

3. 重定向到 HSM — 启用 HSM 时，相同的 CLI 命令将被重定向到 HSM。在 HSM 上创建具有给定参数的新密钥对。每个 vSRX 虚拟防火墙创建的密钥将使用每个虚拟机的 UUID 进行标记。您可以登录云门户，访问密钥并验证所需的属性/作。每个密钥的 UUID 格式如下：<key-name>_<唯一 vm-instance id>。您需要在创建密钥时提供密钥名称。VM 实例是使密钥 ID 在 HSM 服务中唯一的因素。因此，对于每个已启动并正在运行的 VM， 虚拟机实例 ID 必须是唯一的。这是由 Microsoft Azure 确保的。HSM 重定向将是一个定时调用，如果在几秒钟内 x 没有收到响应，则会显示错误消息 call to HSM failed 。

4. 检索公钥信息 — 在 HSM 中创建密钥对后，我们将检索密钥对的公钥组件。HSM 返回模数和指数。这些组件使用 OpenSSL API 转换为EVP_PKEY结构。然后，公钥结构将作为新条目存储在密钥的哈希值中。这样，就可以在需要时从哈希中检索公钥组件。目前，HSM 不会检测到重复的密钥对，而是在再次收到错误密钥 ID 时，HSM 将覆盖预先存在的密钥对。为避免这种密钥对覆盖的情况，公钥会在创建密钥时保存在哈希值中。这样，重复密钥对的创建就会在设备级别停止，而不会调用 HSM。

   当您尝试使用相同的名称创建新的密钥对时，即使您删除了之前的密钥对，您也会收到错误 error: Failed to generate key pair at HSM. Found a key with the same name at HSM. Use a different certificate id next time. Refer to PKID logs for more details 。

5. 删除密钥对 — HSM 不支持 API 删除在 HSM 上创建的密钥对。在 CLI 上发出的 delete keypair 命令将导致从磁盘和密钥哈希中删除公钥组件。不会从 HSM 中删除密钥对。要从 HSM 中删除密钥对，您需要访问 HSM 并手动删除密钥对。如果 Azure 密钥保管库启用了软删除功能，则还需要从密钥对中删除密钥对，然后才能重新使用密钥对名称。

   注意：

   不支持从文件导出密钥。使用 request security pki local-certificate export 和 request security pki key-pair export 命令导出密钥时，您将收到一条错误消息 Export of keypairs/certificate is not supported when HSM is enabled。

6. 私钥签名 — 私钥现在存在于 HSM 中。因此，所有需要私钥的作都已转移到 HSM。这些作包括：

   私钥签名作在以下期间使用：

   • 创建证书签名请求 （CSR）

   • 验证从证书颁发机构收到的本地证书

   • IKE 协商期间的 RSA 签名

   • SHA-1 互作性。Azure 密钥保管库仅支持 SHA-256 摘要的私钥签名。