Configura l'ispezione TLS

Questa pagina descrive come configurare l'ispezione TLS (Transport Layer Security) per Cloud Next Generation Firewall.

Prima di iniziare

Prima di configurare l'ispezione TLS, completa le attività nelle seguenti sezioni.

Attiva il servizio dell'autorità di certificazione

Cloud NGFW utilizza Certificate Authority Service per generare autorità di certificazione (CA) intermedie. Cloud NGFW utilizza queste CA intermedie per generare i certificati utilizzati per l'ispezione TLS.

Puoi abilitare l'API CA Service utilizzando la console Google Cloud:

Enable the API

Per abilitare CA Service utilizzando Google Cloud CLI, utilizza il metodo seguente comando: 

   gcloud services enable privateca.googleapis.com

Abilita Gestione certificati

Cloud NGFW utilizza Gestore certificati per creare configurazioni di attendibilità. Se non vuoi utilizzare le configurazioni di attendibilità, salta questo passaggio.

Puoi abilitare l'API Certificate Manager utilizzando la console Google Cloud:

Enable the API

Per abilitare Gestore certificati utilizzando Google Cloud CLI: utilizza questo comando:

   gcloud services enable certificatemanager.googleapis.com

Crea una configurazione di attendibilità

Questo passaggio è facoltativo. Per creare una configurazione di attendibilità, segui la procedura descritta in questa sezione.

  1. Crea un pool di CA.

    Il pool di CA che crei in questo passaggio è diverso da quello che crei per configurare il criterio di ispezione TLS.

  2. Crea una CA radice utilizzando il pool di CA creato in precedenza.

  3. Crea un certificato utilizzando una chiave generata automaticamente. Utilizza lo stesso nome del pool di CA creato in precedenza.

  4. Recupera il certificato pubblico dell'autorità di certificazione dal certificato creato.

    $PEM-CERT=$(gcloud privateca roots describe ROOT_CA_NAME \
   --location LOCATION \
   --project PROJECT_ID \
   --pool CA_POOL \
   --format "value(pemCaCertificates)")

    Sostituisci quanto segue:

    • ROOT_CA_NAME: il nome della CA radice
    • LOCATION: la località della CA principale
    • PROJECT_ID: l'ID progetto della CA radice
    • CA_POOL: il nome del pool di CA da cui creare i certificati

  5. Creare e importare una configurazione di attendibilità mediante il PEM-CERT ottenuto nel passaggio precedente. Se utilizzi la tua CA, utilizza il certificato pubblico ottenuto dalla tua CA.

Puoi utilizzare questa configurazione dell'attendibilità per creare Criterio di ispezione TLS.

Crea un pool di CA

Devi creare un pool di CA prima di poter utilizzare il servizio CA per per creare una CA. Per creare un pool di CA, segui le istruzioni riportate in Creazione di pool di CA.

Utilizza questo pool di CA per creare un criterio di ispezione TLS.

Crea una CA radice

Se non hai una CA radice esistente, puoi crearne una all'interno CA Service. Per creare una CA radice, segui le istruzioni in Creazione di una CA radice, e utilizzare lo stesso pool di CA che hai creato in precedenza (vedi la sezione Crea un pool di CA).

Crea un account di servizio

Se non hai un account di servizio, devi crearne uno e concedere le autorizzazioni richieste.

  1. Crea un account di servizio:

     gcloud beta services identity create \
     --service networksecurity.googleapis.com \
     --project PROJECT_ID

    Sostituisci PROJECT_ID con l'ID progetto dell'account servizio.

    Google Cloud CLI crea un account di servizio chiamato service-PROJECT_NUMBER@gcp-sa-networksecurity.iam.gserviceaccount.com. In questo caso, PROJECT_NUMBER è l'identificatore univoco il valore PROJECT_ID che hai fornito nel comando precedente.

  2. Concedi all'account di servizio l'autorizzazione per generare i certificati che utilizzano il pool di CA:

     gcloud privateca pools add-iam-policy-binding CA_POOL \
     --member 'serviceAccount:SERVICE_ACCOUNT' \
     --role 'roles/privateca.certificateRequester' \
     --location REGION

    Sostituisci quanto segue:

    • CA_POOL: il nome del pool di CA da cui creare i certificati
    • SERVICE_ACCOUNT: il nome dell'account di servizio che creato nel passaggio precedente
    • LOCATION: la regione del pool di CA

Configura l'ispezione TLS

Prima di procedere con le attività in questa sezione, assicurati di aver configurato certificati o hai completato le attività preliminari elencate nella la sezione Prima di iniziare.

Per configurare l'ispezione TLS, completa le attività nelle sezioni seguenti.

Crea un criterio di ispezione TLS

Console

  1. Nella console Google Cloud, vai alla pagina Criteri di ispezione TLS.

    Vai ai criteri di ispezione TLS

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. Fai clic su Crea criterio di ispezione TLS.

  4. In Nome, inserisci un nome.

  5. (Facoltativo) Nel campo Descrizione, inserisci una descrizione.

  6. Nell'elenco Regione, seleziona la regione in cui vuoi creare il criterio di ispezione TLS.

  7. Nell'elenco Pool di CA, seleziona il pool di CA da cui vuoi creare i certificati.

    Se non hai configurato un pool di CA, fai clic su Nuovo pool e segui le istruzioni riportate in Creare un pool di CA.

  8. (Facoltativo) Nell'elenco Versione TLS minima, seleziona la versione TLS minima supportata dal criterio.

  9. Per Configurazione di attendibilità, seleziona una delle seguenti opzioni:

    • Solo CA pubbliche: seleziona questa opzione se vuoi considerare attendibili i server con certificati firmati pubblicamente.

    • Solo CA private: seleziona questa opzione se vuoi considerare attendibili i server con certificati firmati privatamente.

      Nell'elenco Configurazione attendibilità privata, seleziona la configurazione attendibilità con il repo attendibilità configurato da utilizzare per considerare attendibili i certificati del server a monte. Per saperne di più su come creare una configurazione di attendibilità, consulta Creare una configurazione di attendibilità.

    • CA pubbliche e private: seleziona questa opzione se vuoi utilizzare sia le CA pubbliche sia quelle private.

  10. (Facoltativo) Nell'elenco Profilo della suite di crittografia, seleziona il tipo di profilo TLS. Puoi scegliere uno dei seguenti valori:

    • Compatibile: consente il maggior numero di clienti, inclusi i client che supportano solo funzionalità TLS obsolete, per negoziare TLS.
    • Moderno: supporta un'ampia gamma di funzionalità TLS, consentendo ai client moderni di negoziare TLS.
    • Con restrizioni: supporta un insieme ridotto di funzionalità TLS in modo da soddisfare requisiti di conformità più severi.

    • Personalizzato: consente di selezionare singolarmente le funzionalità TLS.

      Nell'elenco Suite di crittografia, seleziona il nome del suite di crittografia supportate dal profilo personalizzato.

  11. Fai clic su Crea.

gcloud

  1. Crea un file YAML TLS_INSPECTION_FILE.yaml. Sostituisci TLS_INSPECTION_FILE con un nome file a tua scelta.

  2. Aggiungi il codice seguente al file YAML per configurare il criterio di ispezione TLS.

    name: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME
caPool: projects/PROJECT_ID/locations/REGION/caPools/CA_POOL
minTlsVersion: TLS_VERSION
tlsFeatureProfile: PROFILE_TYPECIPHER_NAME
excludePublicCaSet: `TRUE`|`FALSE`
trustConfig: projects/PROJECT_ID/locations/REGION/trustConfigs/TRUST_CONFIG_NAME

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID progetto del criterio di ispezione TLS
    • REGION: la regione in cui viene creato il criterio di ispezione TLS
    • TLS_INSPECTION_NAME: il nome dell'ispezione TLS norme

    • CA_POOL: il nome del pool di CA da creare i certificati

      Il pool di CA deve esistere all'interno della stessa regione.

    • TLS_VERSION: un argomento facoltativo che specifica versione TLS minima supportata da Cloud NGFW

      Puoi scegliere uno dei seguenti valori:

      • TLS_1_0
      • TLS_1_1
      • TLS_1_2

    • PROFILE_TYPE: un argomento facoltativo che specifica tipo di profilo TLS

      Puoi scegliere uno dei seguenti valori:

      • PROFILE_COMPATIBLE: consente il più ampio bacino di clienti, tra cui che supportano solo funzionalità TLS obsolete, per negoziare TLS.
      • PROFILE_MODERN: supporta un'ampia gamma di funzionalità TLS, consentendo ai client moderni di negoziare TLS.
      • PROFILE_RESTRICTED: supporta un insieme ridotto di funzionalità TLS inteso a soddisfare requisiti di conformità più rigidi.
      • PROFILE_CUSTOM: consente di selezionare le funzionalità TLS singolarmente.

    • CIPHER_NAME: un argomento facoltativo per specificare il nome della suite di crittografia supportate dal profilo personalizzato

      Specifica questo argomento solo quando il tipo di profilo è impostato su PROFILE_CUSTOM.

    • excludePublicCaSet: un flag facoltativo per includere o escludere un insieme di CA pubbliche. Per impostazione predefinita, questo flag è impostato su false. Se il flag è impostato su true, Le connessioni TLS non considerano attendibili i server CA pubblici. In questo caso, Cloud NGFW può effettuare connessioni TLS solo a server con certificati firmati da CA nella configurazione dell'attendibilità.

    • TRUST_CONFIG_NAME: un argomento facoltativo per specificare il nome della risorsa della configurazione dell'attendibilità

  3. Importa il criterio di ispezione TLS che hai creato nella sezione Crea un criterio di ispezione TLS

    gcloud network-security tls-inspection-policies import TLS_INSPECTION_NAME \
    --source TLS_INSPECTION_FILE.yaml \
    --location REGION

    Sostituisci quanto segue:

    • TLS_INSPECTION_NAME: il nome dell'ispezione TLS norme
    • TLS_INSPECTION_FILE: il nome del file YAML del criterio di ispezione TLS

Visualizzare i dettagli di un criterio di ispezione TLS

Puoi visualizzare le informazioni sul criterio di ispezione TLS che hai creato nel tuo progetto.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri di ispezione TLS.

    Vai ai criteri di ispezione TLS

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. I criteri di ispezione TLS sono elencati nella sezione Ispezioni TLS.

  4. Per visualizzare i dettagli, fai clic sul nome del criterio di ispezione TLS.

Aggiungi il criterio di ispezione TLS a un'associazione di endpoint firewall

Per aggiungere il criterio di ispezione TLS a un'associazione di endpoint firewall, segui i passaggi descritti in Creare associazioni di endpoint firewall.

Configura le regole dei criteri del firewall con l'ispezione TLS

Per abilitare l'ispezione TLS per la rete Virtual Private Cloud (VPC), Imposta il flag --tls-inspect nella regola del criterio firewall. Questo flag indica che l'ispezione TLS possa essere eseguita quando Gruppo di profili di sicurezza .

Per scoprire di più su come abilitare il flag --tls-inspect nel firewall gerarchico sulle regole del criterio, consulta l'articolo sulla creazione di regole firewall.

Per scoprire di più su come attivare il flag --tls-inspect nelle regole del criterio firewall di rete globale, consulta Creare regole firewall di rete globale.

Gestire il criterio di ispezione TLS

Puoi elencare, aggiornare ed eliminare i criteri di ispezione TLS nel tuo progetto.

Elenco di tutti i criteri di ispezione TLS

Puoi elencare tutti i criteri di ispezione TLS in un progetto.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri di ispezione TLS.

    Vai ai criteri di ispezione TLS

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. I criteri di ispezione TLS sono elencati nella sezione Ispezioni TLS.

gcloud

Per elencare tutti i criteri di ispezione TLS, utilizza Comando gcloud network-security tls-inspection-policies list:

gcloud network-security tls-inspection-policies list \
    --project PROJECT_ID \
    --location REGION

Sostituisci quanto segue:

  • PROJECT_ID: l'ID progetto per il criterio di ispezione TLS
  • REGION: il nome della regione per la quale vuoi elencare il criterio di ispezione TLS

Modifica un criterio di ispezione TLS

Puoi modificare un criterio di ispezione TLS esistente nel tuo progetto.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri di ispezione TLS.

    Vai ai criteri di ispezione TLS

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. I criteri di ispezione TLS sono elencati nella sezione Ispezioni TLS.

  4. Per modificare un criterio, fai clic sul nome del criterio di ispezione TLS.

  5. Fai clic su Modifica.

  6. Modifica i campi obbligatori. Per ulteriori informazioni su ciascun campo, consulta Creare un criterio di ispezione TLS.

  7. Fai clic su Salva.

Elimina un criterio di ispezione TLS

Puoi eliminare un criterio di ispezione TLS dal tuo progetto. Tuttavia, se il criterio di ispezione TLS fa riferimento a un'associazione di endpoint firewall, non è possibile eliminarlo.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri di ispezione TLS.

    Vai ai criteri di ispezione TLS

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto.

  3. I criteri di ispezione TLS sono elencati nella sezione Ispezioni TLS.

  4. Per eliminare un criterio di ispezione TLS, seleziona la casella di controllo accanto al nome.

  5. Fai clic su Elimina.

  6. Fai di nuovo clic su Elimina.

gcloud

Per eliminare un criterio di ispezione TLS, utilizza il comando gcloud network-security tls-inspection-policies delete:

gcloud network-security tls-inspection-policies delete \
    projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME \
    --location REGION

Sostituisci quanto segue:

  • PROJECT_ID: l'ID progetto del criterio di ispezione TLS
  • TLS_INSPECTION_NAME: il nome dell'ispezione TLS
  • REGION: la regione in cui viene creato il criterio di ispezione TLS

Passaggi successivi