在 vSRX 虚拟防火墙 3.0 上部署 Microsoft Azure 硬件安全模块

目的

检查与 HSM 的连接。

行动

您可以使用命令 show security hsm status 验证 HSM 的状态。将显示以下信息：

• 如果 HSM 已启用且可访问或禁用

• 是否在 HSM 中创建主绑定密钥（RSA 密钥对）

• 是否配置了主加密密钥 - 主加密密码状态（设置或未设置）

• 云供应商信息

部署方案

本部分提供了一个部署方案，其中 vSRX 虚拟防火墙 3.0 实例作为虚拟网络中的网关启动，该虚拟网络使用纯 IPsec 连接连接到数据中心。

图 4 显示了部署方案。

图 4：使用 IPsec 连接的 vSRX 虚拟防火墙部署方案

您可以使用适用于 pkid 进程的 Microsoft Azure 云 HSM 服务生成密钥对，并使用这些密钥对从 CA 服务器获取本地证书。在 IKE 协商期间，使用云 HSM 服务中存在的密钥对进行私钥签名。

使用 HSM 服务在 Microsoft Azure 云中执行的 VPN 功能如图 5 所示。

图 5：Microsoft Azure 云 中带有 HSM 的 VPN 组件

这里涉及的组件包括：

• 在 Microsoft Azure 云中启动的 vSRX 虚拟防火墙 3.0。

• 对等 - 在 Azure 云中启动第二个 vSRX 虚拟防火墙 3.0 实例。将在第一个 vSRX 虚拟防火墙 3.0 与对等方之间建立隧道。

• 密钥保管库 - 在 Azure 云中启动的 HSM 服务。您可以在 vSRX 虚拟防火墙 3.0 和 HSM 之间进行交互。并且对等方可以在本地创建和存储密钥对。

• 证书颁发机构服务器 - vSRX 虚拟防火墙实例可以访问的任何 CA 服务器。CA 服务器在 Azure 云上启动。

此过程提供有关步骤，说明如何通过使用云 HSM 服务对 vSRX 虚拟防火墙进行身份验证来允许从 vSRX 虚拟防火墙访问 HSM。

1. 初始化与 HSM 服务的会话 - 每个需要与 HSM 交互的进程都必须初始化自己的单独会话。对于 VPN 功能，您必须为所涉及的每个设备与 HSM 服务建立 2 个会话。一个会话与 pkid 进程建立，另一个会话与 iked 进程建立。这些与 HSM 服务的会话仅在守护程序的初始化过程中建立一次。如果守护程序重新启动，则会与 HSM 服务建立新会话。使用 HSM 服务成功建立会话后，将返回有效的会话上下文。仅当启用了主加密密钥 （MEK） 时，才会与 HSM 服务建立会话。每个会话都是 vSRX 虚拟防火墙与云 HSM 之间的安全 TLS 连接。

2. 在 HSM 上处理密钥对 — 要在 HSM 上创建和存储密钥对，请使用 request security pki generate-key-pair certificate-id certificate-id-name <size> <type> 命令。

   注意：

   术语证书 ID 只是与已生成的密钥对关联的标识符。尚无与证书创建的连接。如果未提及类型和大小，则考虑类型的默认值为 RSA，大小为 2048。

3. 重定向到 HSM — 启用 HSM 后，同一 CLI 命令将重定向到 HSM。将在 HSM 上创建具有给定参数的新密钥对。每个 vSRX 虚拟防火墙创建的密钥将使用每个虚拟机的 UUID 进行标记。您可以登录到云门户，访问密钥并验证所需的属性/操作。每个密钥的 UUID 格式如下：<密钥名称>_<唯一虚拟机实例 ID>。您需要在创建密钥时提供密钥名称。VM 实例是使密钥 ID 在 HSM 服务中唯一的因素。因此，对于已启动并正在运行的每个虚拟机， 虚拟机实例 ID 必须是唯一的。这是由Microsoft Azure确保的。HSM 重定向将是一个定时调用，如果在几秒钟内 x 未收到响应，则会显示一条错误消息 call to HSM failed 。

4. 检索公钥信息 — 在 HSM 上创建密钥对后，我们将检索密钥对的公钥组件。HSM 返回模数和指数。这些组件使用 OpenSSL API 转换为EVP_PKEY结构。然后，公钥结构将作为新条目存储在密钥哈希中。这样，可以在需要时从哈希中检索公钥组件。目前，HSM 不会检测到重复的密钥对，而是在再次收到错误密钥 ID 时，HSM 将覆盖预先存在的密钥对。为了避免这种密钥对覆盖，公钥在创建密钥时保存在哈希中。这样，重复的密钥对创建将在设备级别停止，而无需调用 HSM。

   当您尝试使用相同的名称创建新密钥对时，即使您已删除了以前的密钥对，也会收到错误 error: Failed to generate key pair at HSM. Found a key with the same name at HSM. Use a different certificate id next time. Refer to PKID logs for more details 。

5. 删除密钥对 — HSM 不支持用于删除在 HSM 中创建的密钥对的 API。在 CLI 中发出的删除密钥对命令将导致从磁盘和密钥哈希中删除公钥组件。不会从 HSM 中删除密钥对。要从 HSM 中删除密钥对，您需要访问 HSM 并手动删除密钥对。如果 Azure 密钥保管库启用了软删除功能，则还需要从密钥对中删除密钥对，然后才能重复使用密钥对名称。

   注意：

   不支持从文件导出密钥。使用 和 request security pki key-pair export 命令request security pki local-certificate export导出密钥时，您将收到一条错误消息 Export of keypairs/certificate is not supported when HSM is enabled。

6. 私钥签名 — 私钥现在存在于 HSM 中。因此，所有需要私钥的操作都已卸载到 HSM。操作涉及：

   私钥签名操作在以下期间使用：

   • 创建证书签名请求 （CSR）

   • 验证从 CA 收到的本地证书

   • IKE 协商期间的 RSA 签名

   • SHA-1 互操作性。Azure 密钥保管库仅支持对 SHA-256 摘要进行私钥签名。