Szyfrowanie TLS za pomocą usługi Azure Front Door

Transport Layer Security (TLS), wcześniej znany jako Secure Sockets Layer (SSL), jest standardową technologią zabezpieczeń do ustanawiania szyfrowanego połączenia między serwerem internetowym a klientem, na przykład przeglądarką internetową. Ten link gwarantuje, że wszystkie dane przekazywane między serwerem a klientem pozostaną prywatne i zaszyfrowane.

Aby spełnić wymagania dotyczące zabezpieczeń lub zgodności, usługa Azure Front Door obsługuje kompleksowe szyfrowanie TLS. Odciążenie TLS/SSL w usłudze Azure Front Door polega na zakończeniu połączenia TLS, odszyfrowaniu ruchu w usłudze Azure Front Door, a następnie zaszyfrowaniu go ponownie przed przesłaniem do źródła. Gdy połączenia z źródłem korzystają z publicznego adresu IP źródła, dobrym rozwiązaniem jest skonfigurowanie protokołu HTTPS jako protokołu przekazywania w usłudze Azure Front Door. Używając protokołu HTTPS jako protokołu przekazującego, można wymusić kompleksowe szyfrowanie TLS dla całego przetwarzania żądania od klienta do źródła. Odciążanie protokołu TLS/SSL jest również obsługiwane, jeśli wdrażasz prywatne źródło za pomocą usługi Azure Front Door Premium z użyciem funkcji Private Link.

Kompleksowe szyfrowanie TLS

Kompleksowe szyfrowanie TLS umożliwia zabezpieczanie poufnych danych podczas przesyłania do źródła, a jednocześnie korzystanie z funkcji usługi Azure Front Door, takich jak globalne równoważenie obciążenia i buforowanie. Niektóre funkcje obejmują również routing oparty na adresach URL, podział TCP, buforowanie w lokalizacji brzegowej najbliżej klientów i dostosowywanie żądań HTTP na brzegu sieci.

Usługa Azure Front Door odciąża sesje protokołu TLS na urządzeniach brzegowych i odszyfrowuje żądania klientów. Następnie stosuje skonfigurowane reguły routingu w celu kierowania żądań do odpowiedniego źródła w grupie pochodzenia. Następnie usługa Azure Front Door uruchamia nowe połączenie TLS z źródłem i ponownie szyfruje wszystkie dane przy użyciu certyfikatu źródła przed przesłaniem żądania do źródła. Każda odpowiedź ze źródła jest szyfrowana za pośrednictwem tego samego procesu z powrotem do użytkownika końcowego. Usługę Azure Front Door można skonfigurować tak, aby używała protokołu HTTPS jako protokołu przekazywania w celu włączenia kompleksowego protokołu TLS.

Obsługiwane wersje protokołu TLS

Usługa Azure Front Door obsługuje dwie wersje protokołu TLS: TLS w wersji 1.2 i 1.3. Wszystkie profile usługi Azure Front Door utworzone po wrześniu 2019 r. używają protokołu TLS 1.2 jako domyślnego minimum z włączonym protokołem TLS 1.3. Obecnie usługa Azure Front Door nie obsługuje uwierzytelniania klienta/wzajemnego uwierzytelniania (mTLS).

W przypadku usług Azure Front Door Standard i Premium można skonfigurować wstępnie zdefiniowane zasady protokołu TLS lub wybrać zestaw szyfrowania TLS na podstawie potrzeb organizacji w zakresie zabezpieczeń. Aby uzyskać więcej informacji, zobacz Zasady protokołu TLS usługi Azure Front Door i konfigurowanie zasad TLS w domenie niestandardowej usługi Front Door.

W przypadku klasycznej usługi Azure Front Door i klasycznej usługi Microsoft CDN można skonfigurować minimalną wersję protokołu TLS w usłudze Azure Front Door w ustawieniach protokołu HTTPS domeny niestandardowej przy użyciu witryny Azure Portal lub interfejsu API REST platformy Azure. W przypadku minimalnej wersji protokołu TLS 1.2 negocjacje podejmą próbę ustanowienia protokołu TLS 1.3, a następnie protokołu TLS 1.2. Gdy usługa Azure Front Door inicjuje ruch TLS do źródła, podejmie próbę wynegocjowania najlepszej wersji protokołu TLS, którą źródło może niezawodnie i spójnie zaakceptować. Obsługiwane wersje protokołu TLS dla połączeń pochodzenia to TLS 1.2 i TLS 1.3. Jeśli chcesz dostosować zestaw szyfrów do swoich potrzeb, przeprowadź migrację klasycznej usługi Front Door i usługi klasycznejMicrosoft CDN do usługi Azure Front Door w warstwie Standardowa i Premium.

Obsługiwane certyfikaty

Podczas tworzenia certyfikatu TLS/SSL należy utworzyć pełny łańcuch certyfikatów z dozwolonym urzędem certyfikacji, który jest częścią listy zaufanych urzędów certyfikacji firmy Microsoft. Jeśli skorzystasz z nieautoryzowanego urzędu certyfikacji, żądanie zostanie odrzucone.

Certyfikaty z wewnętrznych urzędów certyfikacji lub certyfikaty z podpisem własnym nie są dozwolone.

Spajanie protokołu OCSP (Online Certificate Status Protocol)

Zszycie OCSP jest domyślnie obsługiwane w usłudze Azure Front Door i nie jest wymagana żadna konfiguracja.

Połączenie TLS od źródła (połączenie z usługą Azure Front Door do serwera źródłowego)

W przypadku połączeń HTTPS usługa Azure Front Door oczekuje, że źródło przedstawi certyfikat od prawidłowego urzędu certyfikacji, z nazwą podmiotu zgodną z nazwą hosta pochodzenia. Jeśli na przykład nazwa hosta źródłowego jest ustawiona na myapp-centralus.contoso.net, a certyfikat, który twój serwer źródłowy prezentuje podczas uzgadniania protokołu TLS, nie zawiera myapp-centralus.contoso.net lub *.contoso.net w nazwie podmiotu, wtedy usługa Azure Front Door odrzuca połączenie, a klient widzi błąd.

W niektórych przypadkach użycia, takich jak testowanie, można wyłączyć sprawdzanie nazwy podmiotu certyfikatu dla usługi Azure Front Door jako obejście w celu rozwiązania problemów z nieudanym połączeniem HTTPS. Źródło musi nadal prezentować certyfikat z prawidłowym, zaufanym łańcuchem, ale nie musi odpowiadać nazwie hosta źródła.

Połączenie TLS interfejsu frontowego (klient do Azure Front Door)

Aby włączyć protokół HTTPS do bezpiecznego dostarczania zawartości w domenie niestandardowej usługi Azure Front Door, możesz użyć certyfikatu zarządzanego przez usługę Azure Front Door lub użyć własnego certyfikatu.

Autorotacja certyfikatu

W przypadku opcji zarządzanego certyfikatu Azure Front Door Standard/Premium, certyfikaty są zarządzane i automatycznie odnawiane przez Azure Front Door w ciągu 45 dni od daty wygaśnięcia. W przypadku opcji klasycznego i klasycznego certyfikatu zarządzanego usługi Azure Front Door są zarządzane i obracane automatycznie w ciągu 90 dni od wygaśnięcia przez usługę Azure Front Door. Jeśli używasz klasycznego certyfikatu zarządzanego jednostek SKU i sprawdź, czy data wygaśnięcia certyfikatu jest mniejsza niż 60 dni lub 30 dni dla jednostki SKU w warstwie Standardowa/Premium, utwórz bilet pomocy technicznej.

W przypadku własnego niestandardowego certyfikatu TLS/SSL:

1. Ustaw wersję tajnego na wartość "Latest", aby certyfikat był automatycznie aktualizowany do najnowszej wersji, gdy nowsza wersja certyfikatu jest dostępna w magazynie kluczy. W przypadku certyfikatów niestandardowych certyfikat jest automatycznie odnawiany w ciągu 3-4 dni na nowszą wersję, niezależnie od czasu wygaśnięcia.

2. Jeśli wybrano określoną wersję, autorotacja nie jest obsługiwana. Musisz ponownie wybrać nową wersję ręcznie, aby obrócić certyfikat. Wdrożenie nowej wersji certyfikatu/wpisu tajnego trwa do 24 godzin.

   Uwaga

   Usługa Azure Front Door (AFD) w wersjach Standard i Premium automatycznie obraca certyfikaty zarządzane tylko wtedy, gdy domena niestandardowa CNAME wskazuje bezpośrednio na punkt końcowy AFD; przy konfiguracjach pośrednich CNAME zdecydowanie zalecamy użycie własnego certyfikatu, ponieważ usługa AFD podejmie próbę weryfikacji domeny za pośrednictwem weryfikacji tokenu opartego na plikach, gdy ruch osiągnie AFD, ale pomyślna weryfikacja nie jest gwarantowana.

   Jednostka zabezpieczeń dla usługi Front Door musi mieć dostęp do magazynu kluczy. Zaktualizowana operacja wdrażania certyfikatu przez usługę Azure Front Door nie spowoduje przestoju produkcyjnego, o ile nazwa podmiotu lub alternatywna nazwa podmiotu (SAN) certyfikatu nie uległa zmianie.

Obsługiwane zestawy szyfrowania

W przypadku protokołu TLS 1.2/1.3 obsługiwane są następujące zestawy szyfrowania:

• TLS_AES_256_GCM_SHA384 (tylko protokół TLS 1.3)
• TLS_AES_128_GCM_SHA256 (tylko protokół TLS 1.3)
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_DHE_RSA_WITH_AES_128_GCM_SHA256

Użyj zasad PROTOKOŁU TLS , aby skonfigurować określone zestawy szyfrowania. Usługa Azure Front Door Standard i Premium oferują dwa mechanizmy kontrolowania zasad TLS: można użyć wstępnie zdefiniowanych zasad lub zasad niestandardowych zgodnie z własnymi potrzebami. Aby uzyskać więcej informacji, zobacz Konfigurowanie zasad PROTOKOŁU TLS w domenie niestandardowej usługi Front Door.

Powiązana zawartość