Configurar políticas SSL específicas do ouvinte no Gateway de Aplicativo por meio do portal

Este artigo descreve como usar o portal do Azure para configurar políticas SSL específicas do ouvinte no Gateway de Aplicativo do Azure. As políticas SSL específicas do ouvinte permitem que você configure ouvintes específicos para usar políticas SSL diferentes umas das outras. Você ainda pode definir uma política SSL padrão que todos os ouvintes usam, a menos que seja substituída pela política SSL específica do ouvinte. Este artigo descreve como usar o portal do Azure para configurar políticas SSL específicas do ouvinte em seu Gateway de Aplicativo. As políticas SSL específicas do ouvinte permitem que você configure ouvintes específicos para usar políticas SSL diferentes umas das outras. Você ainda poderá definir uma política SSL padrão que todos os ouvintes usam, a menos que seja substituída pela política SSL específica do ouvinte.

Pré-requisitos

Antes de começar, verifique se você tem:

• Uma assinatura do Azure. Se você não tiver uma, crie uma conta gratuita antes de começar.
• Um Gateway de Aplicativo do Azure existente (SKU Standard_v2 ou WAF_v2)
• Permissões apropriadas para modificar as configurações do Gateway de Aplicativo

Criar um novo Gateway de Aplicativo

Primeiro, crie um novo Gateway de Aplicações por meio do portal, como faria normalmente. Não há mais etapas necessárias durante a criação para configurar políticas SSL específicas do ouvinte. Para obter mais informações sobre como criar um Gateway de Aplicativo no portal, consulte o tutorial de início rápido do portal.

Primeiro, crie um novo Gateway de Aplicativo como faria normalmente por meio do portal – não há etapas extras necessárias na criação para configurar políticas SSL específicas do ouvinte. Para obter mais informações sobre como criar um Gateway de Aplicativo no portal, confira nosso tutorial de início rápido do portal.

Configurar uma política SSL específica do ouvinte

Antes de continuar, aqui estão algumas considerações importantes para políticas SSL específicas do ouvinte:

Políticas SSL

• É recomendável usar o TLS 1.2 ou superior

• Você não precisa configurar a autenticação do cliente em um perfil SSL para associá-la a um ouvinte. Você pode configurar apenas a autenticação do cliente, apenas a política SSL específica do ouvinte ou ambas no seu perfil SSL.

• Use uma Política Predefinida 2022 ou Personalizada v2 para aprimorar a segurança e o desempenho do SSL para todo o Gateway de Aplicações (Política SSL e Perfil SSL). Portanto, você não pode ter ouvintes diferentes usando políticas SSL herdadas e novas simultaneamente.

• É recomendável usar o TLS 1.2, pois essa versão será obrigatória no futuro.

• Você não precisa configurar a autenticação do cliente em um perfil SSL para associá-la a um ouvinte. Você pode ter apenas a autenticação do cliente ou a política SSL específica do ouvinte configurada ou ambas configuradas em seu perfil SSL.

• O uso de uma política Predefinida de 2022 ou Customv2 aprimora a segurança e o desempenho do SSL para todo o gateway (Política SSL e Perfil SSL). Portanto, você não pode ter ouvintes diferentes em políticas SSL antigas e novas (predefinidas ou personalizadas).

  Cenário de exemplo: se você estiver usando a Política SSL e o Perfil SSL com políticas/criptografias "herdadas", a atualização para uma política "nova" predefinida ou personalizada v2 para qualquer componente também exigirá a atualização da outra configuração. Você pode usar as novas políticas predefinidas, a política personalizada v2 ou uma combinação.

SSL-Policies Para configurar uma política SSL específica do ouvinte, primeiro acesse a guia configurações de SSL no portal do Azure e crie um novo perfil SSL. Ao criar um perfil SSL, você verá duas guias: Autenticação de Cliente e Política de SSL. A guia Política de SSL é usada para configurar uma política SSL específica do ouvinte. A guia Autenticação do Cliente é onde você carrega certificados de cliente para autenticação mútua. Para obter mais informações, consulte Configurando a autenticação mútua.

Para configurar uma política SSL específica do ouvinte, primeiro você precisa acessar a guia configurações de SSL no Portal e criar um novo perfil SSL. Ao criar um perfil SSL, você verá duas guias: Autenticação de Cliente e Política de SSL. A guia Política de SSL é usada para configurar uma política SSL específica para o ouvinte. A guia Autenticação do Cliente é onde carregar um certificado do cliente para autenticação mútua – para obter mais informações, confira Como configurar uma autenticação mútua.

1. Pesquise o Gateway de Aplicativo no portal, selecione Gateways de aplicativo e selecione o Gateway de Aplicativo existente.

2. Selecione as configurações de SSL no menu esquerdo.

3. Selecione o sinal de adição próximo a Perfis SSL na parte superior para criar um novo perfil SSL.

4. Insira um nome em Nome do Perfil SSL. Neste exemplo, nomeamos nosso perfil SSL applicationGatewaySSLProfile.

5. Vá para a guia Política SSL e marque a caixa de seleção Habilitar política SSL específica do ouvinte .

6. Configure sua política SSL específica do ouvinte de acordo com seus requisitos. Você pode escolher entre políticas de SSL predefinidas e personalizar sua própria política de SSL. Para obter mais informações sobre políticas SSL, consulte a visão geral da política SSL. É recomendável usar o TLS 1.2 ou superior.

   Observação

   Essa política é a versão mais recente da política SSL disponível, o que é recomendado para garantir a melhor segurança de SSL. Se o gateway estiver configurado para lidar com o tráfego mais antigo, talvez seja necessário escolher uma política mais antiga para garantir que todo o tráfego seja tratado corretamente.

7. Selecione Adicionar para salvar.

   

Associar o perfil SSL a um ouvinte

Agora você criou um perfil SSL com uma política SSL específica do ouvinte. Você precisa associar o perfil SSL ao ouvinte para ativar a política específica do ouvinte.

1. Navegue até o Gateway de Aplicativo.

2. Selecione Ouvintes no menu esquerdo.

3. Selecione em Adicionar ouvinte se você ainda não tiver um ouvinte HTTPS configurado. Se você já tiver um ouvinte HTTPS, selecione-o na lista.

4. Preencha o nome do ouvinte, o IP de front-end, a porta e outras configurações de HTTPS para atender aos seus requisitos.

5. Selecione Adicionar para salvar seu novo ouvinte com o perfil SSL associado a ele.

6. Verifique se a Política SSL está correta ou selecione Alterar para escolher outra Política SSL. As opções disponíveis incluem:

   • Padrão
   • Predefinida
   • Personalizado
   • CustomV2 Selecione o perfil SSL que você criou na lista suspensa. Neste exemplo, escolhemos o perfil SSL criado nas etapas anteriores: applicationGatewaySSLProfile.

7. Selecione a aba Certificados TLS do Ouvinte na segunda aba.

8. Selecione + Adicionar Certificado.

9. Preencha o nome do certificado, o arquivo de certificado PFX, o tipo e outras senhas para atender aos seus requisitos.

10. Selecione Adicionar para salvar o novo certificado TLS do ouvinte com o perfil SSL associado a ele.

11. Continue configurando o restante do ouvinte de acordo com seus requisitos.

    

Limitações

Políticas SSL

Há limitações atuais com o Gateway de Aplicativo do Azure em relação às políticas SSL:

• Ouvintes diferentes que usam a mesma porta não podem ter políticas SSL (predefinidas ou personalizadas) com diferentes versões de protocolo TLS.
• A configuração da mesma versão do TLS para ouvintes diferentes funciona para definir as preferências do conjunto de criptografia para cada ouvinte.
• Para usar diferentes versões de protocolo TLS para ouvintes separados, você deve usar portas distintas para cada ouvinte. No momento, há uma limitação no Gateway de Aplicativo em que diferentes ouvintes que usam a mesma porta não podem ter políticas predefinidas ou personalizadas (SSL) com diferentes versões do protocolo TLS. Escolher a mesma versão do TLS para ouvintes diferentes funciona para configurar a preferência do conjunto de criptografia para cada ouvinte. No entanto, para usar diferentes versões de protocolo TLS para ouvintes separados, você precisa usar portas distintas para cada uma.

Próximas etapas