I criteri SSL specificano l'insieme di funzionalità SSL che i bilanciatori del carico di Google Cloud utilizzano durante la negoziazione di SSL con i client. In questo documento, il termine SSL si riferisce ai protocolli SSL e TLS.
I criteri SSL sono supportati con i seguenti bilanciatori del carico:
- Criteri SSL globali
- Bilanciatore del carico HTTP(S) esterno globale
- Bilanciatore del carico HTTP(S) esterno globale (versione classica)
- Bilanciatore del carico del proxy SSL esterno
- Criteri SSL a livello di regione
- Bilanciatore del carico HTTP(S) esterno a livello di area geografica
- Bilanciatore del carico HTTP(S) interno
Per impostazione predefinita, questi bilanciatori del carico utilizzano un set di funzionalità SSL che offrono una buona sicurezza e un'ampia compatibilità. Alcune applicazioni richiedono un maggiore controllo su quali versioni e crittografie SSL vengono utilizzate per le connessioni HTTPS o SSL. Puoi definire i criteri SSL per specificare l'insieme di funzionalità SSL che il bilanciatore del carico utilizza durante la negoziazione di SSL con i client.
L'esempio seguente mostra come vengono stabilite e terminate le connessioni dai client a un bilanciatore del carico.
Puoi utilizzare un criterio SSL per configurare la versione minima di TLS e le funzionalità SSL abilitate nel bilanciatore del carico. I criteri SSL influiscono sulle connessioni tra i client e il bilanciatore del carico (Connection-1 nell'illustrazione). I criteri SSL non influiscono sulle connessioni tra il bilanciatore del carico e i backend (Connection-2).
Definizione di un criterio SSL
Per definire un criterio SSL, devi specificare una versione TLS minima e un profilo. Il profilo seleziona un set di funzionalità SSL da abilitare nel bilanciatore del carico.
Tre profili preconfigurati gestiti da Google ti consentono di specificare il livello di compatibilità appropriato per la tua applicazione. I tre profili preconfigurati sono i seguenti:
- COMPATIBILE. Consente al gruppo più ampio di client, inclusi quelli che supportano solo le funzionalità SSL non aggiornate, di negoziare SSL con il bilanciatore del carico.
- Moderato. Supporta una vasta gamma di funzionalità SSL, consentendo ai client moderni di negoziare SSL.
- LIMITATO. Supporta un insieme ridotto di funzionalità SSL, pensate per soddisfare i requisiti di conformità più rigidi.
Un quarto profilo CUSTOM ti consente di selezionare le funzionalità SSL singolarmente.
Il criterio SSL specifica anche la versione minima del protocollo TLS che i client possono utilizzare per stabilire una connessione. Un profilo può anche limitare le versioni di TLS che il bilanciatore del carico può negoziare. Ad esempio, i crittografia abilitati nel profilo RESTRICTED sono supportati solo da TLS 1.2. Per scegliere in modo efficace il profilo RESTRICTED, i client devono utilizzare TLS 1.2 indipendentemente dalla versione TLS minima scelta.
Se non scegli uno dei tre profili preconfigurati o crei un criterio SSL personalizzato, il bilanciatore del carico utilizza il criterio SSL predefinito. Il criterio SSL predefinito è equivalente a un criterio SSL che utilizza il profilo COMPATIBLE con una versione TLS minima di TLS 1.0.
Puoi collegare un criterio SSL a più di un proxy di destinazione. Non puoi configurare più di un criterio SSL per un determinato proxy di destinazione. Qualsiasi modifica apportata ai criteri SSL non modifica né interrompe le connessioni del bilanciatore del carico esistenti.
Cloud Load Balancing non supporta la versione 3.0 o precedente di SSL. La tabella seguente descrive il supporto delle funzionalità per ciascuna versione di TLS/SSL.
| Versione TLS/SSL | Supporto delle funzionalità |
|---|---|
| TLS 1.0, 1.1 o 1.2 | Le impostazioni nei criteri SSL controllano le suite di crittografia applicate alle connessioni client. |
| TLS 1.3 | Le impostazioni nei criteri SSL non controllano la selezione della crittografia. TLS 1.3 supporta solo crittografie TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384 e TLS_CHACHA20_POLY1305_SHA256. |
| QUIC | Le impostazioni nei criteri SSL non controllano la selezione della crittografia. |
| SSL 3.0 o versioni precedenti | Non applicabile. Non supportato da Cloud Load Balancing. |
La tabella seguente elenca le funzionalità di criteri SSL disponibili per ogni profilo preconfigurato. Tutte le funzionalità controllano se è possibile utilizzare determinate suite di crittografia e si applicano solo alle connessioni client che utilizzano TLS 1.2 o versioni precedenti, non ai client che utilizzano QUIC.
| Funzionalità | Nel profilo COMPATIBILE | Nel profilo MODERNO | Nel profilo RESTRICTED |
|---|---|---|---|
| TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 | ♦ | ♦ | ♦ |
| TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | ♦ | ♦ | ♦ |
| TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 | ♦ | ♦ | ♦ |
| TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | ♦ | ♦ | ♦ |
| TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | ♦ | ♦ | ♦ |
| TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | ♦ | ♦ | ♦ |
| TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA | ♦ | ♦ | |
| TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA | ♦ | ♦ | |
| TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA | ♦ | ♦ | |
| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA | ♦ | ♦ | |
| TLS_RSA_WITH_AES_128_GCM_SHA256 | ♦ | ||
| TLS_RSA_WITH_AES_256_GCM_SHA384 | ♦ | ||
| TLS_RSA_WITH_AES_128_CBC_SHA | ♦ | ||
| TLS_RSA_WITH_AES_256_CBC_SHA | ♦ | ||
| TLS_RSA_WITH_3DES_EDE_CBC_SHA | ♦ |
Aggiornamenti delle funzionalità
Ci riserviamo il diritto di aggiornare l'insieme di funzionalità abilitate nei profili COMPATIBILE, MODERNO e LIMITATO, nonché su quali funzionalità sono configurabili in un profilo PERSONALIZZATO. Lo facciamo perché rimuoviamo il supporto per le funzionalità SSL meno recenti e aggiungiamo il supporto per quelle più recenti.
Quando aggiungiamo funzionalità che migliorano le funzionalità SSL, potremmo attivarle immediatamente nei profili COMPATIBILI, MODERNI E LIMITATI, in modo che i criteri SSL che le selezionano possano utilizzare le nuove funzionalità. Tuttavia, se il criterio seleziona il profilo PERSONALIZZATO, devi modificare le impostazioni del criterio per utilizzare le funzionalità aggiunte.
Quando rimuoviamo la possibilità di controllare una funzionalità (forzandola o forzandola per tutti i criteri), diamo un preavviso, tranne quando rimuovere il controllo è necessario per motivi di sicurezza.
Limitazioni
La disabilitazione di determinate versioni o crittografie SSL potrebbe impedire ad alcuni client meno recenti di connettersi al tuo proxy utilizzando HTTPS o SSL. Se disattivi una selezione sufficientemente ampia di crittografia nel profilo PERSONALIZZATO, i client non potranno negoziare HTTPS.
Un certificato SSL associato al bilanciatore del carico utilizza un sistema ECDSA o una firma digitale RSA. I profili predefiniti sono compatibili con entrambi i tipi di firme di certificati. Un profilo personalizzato deve abilitare crittografie compatibili con la firma digitale utilizzata dai certificati del bilanciatore del carico.
Le funzionalità che controllano le suite di crittografia si applicano solo alle connessioni client che utilizzano TLS versione 1.2 e precedenti. Non controllano la selezione della crittografia nelle connessioni che usano QUIC o TLS 1.3.
Passaggi successivi
- Per creare, modificare o eliminare un criterio SSL, vedi Utilizzare i criteri SSL.
- Per configurare un certificato SSL, consulta l'articolo Creare e utilizzare i certificati SSL.