Настройка фильтрации HTTPS

Фильтрация HTTPS-трафика обеспечивает возможность последующей обработки сайтов, доступных по HTTPS.

В Ideco NGFW фильтрация реализуется следующими методами:

• Анализ заголовков Server Name Indication (SNI) - благодаря этому методу возможен анализ домена, к которому подключается клиент, без подмены сертификата и вмешательства в HTTPS-трафик. Также анализируются домены, указанные в сертификате. Фильтрация HTTPS по SNI включена по умолчанию.

• Метод SSL-bump - фильтрация происходит путем динамической подмены сертификата сайта на корневой сертификат Ideco NGFW. Таким образом, передающийся по защищенному HTTPS-соединению трафик становится доступным для обработки всем модулям Ideco NGFW: антивирусу Касперского, внешним ICAP-сервисам и Контент-фильтру (можно категоризировать полный URL запроса и MIME-тип контента).

Настройка сервера и рабочих станций

Для работы SSL-bump требуется настройка на обеих сторонах подключения: сервера Ideco NGFW и рабочей станции каждого пользователя в локальной сети.

Настройка сервера Ideco NGFW

1. Создайте правило расшифровки HTTPS-трафика на вкладке Правила трафика -> Контент-фильтр -> Правила. Пример правила для расшифровки:

2. Скачайте корневой SSL-сертификат на вкладке Сервисы -> Сертификаты -> Загруженные сертификаты:

Установка корневого сертификата на рабочей станции

При включенном правиле расшифровки HTTPS-трафика клиентские приложения (браузер, антивирусы, клиенты IM и другое сетевое ПО) потребуют подтверждения для подменного сертификата. Для удобства работы пользователя установите корневой сертификат сервера Ideco NGFW в операционной системе. Для этого выполните действия:

1. Откройте на рабочей станции центр управления сертификатами: Пуск -> Выполнить, выполнив в диалоге команду mmc:

2. В меню Файл выберите Добавить или удалить оснастку:

3. В списке Доступные оснастки выберите Сертификаты, а затем нажмите кнопку Добавить:

4. В открывшемся окне выберите пункт Учетная запись компьютера и нажмите кнопку Далее:

5. В окне Выбор компьютера оставьте флаг Локальный компьютер и нажмите кнопку Готово.

6. В левой части окна нажмите на стрелку рядом с директорией Сертификаты (локальный компьютер) -> Доверенные корневые сертификаты -> Сертификаты:

7. В меню Действие выберите Все задачи -> Импорт:

8. Следуя инструкциям Мастера импорта сертификатов, импортируйте корневой сертификат сервера Ideco NGFW. Импортированный сертификат появится в списке в правой части окна:

Автоматическая установка сертификата через Active Directory

В сетях, где управление пользователями осуществляется с помощью Microsoft Active Directory, можно установить сертификат Ideco NGFW для всех пользователей автоматически с помощью Active Directory. Для этого необходимо выполнить действия:

1. Скачайте корневой SSL-сертификат, открыв раздел веб-интерфейса Ideco NGFW Сервисы -> Сертификаты -> Загруженные сертификаты:

2. Зайдите на контроллер домена с правами администратора.

3. Запустите оснастку управления групповой политикой, выполнив команду gpmc.msc.

4. Найдите политику домена, использующуюся на компьютерах пользователей в Объектах групповой политики (Default Domain Policy). Нажмите на нее правой кнопкой мышки и выберите Изменить.

5. В открывшемся редакторе управления групповыми политиками выберите: Конфигурация компьютера -> Политики -> Конфигурация Windows -> Параметры безопасности -> Политики открытого ключа -> Доверенные корневые центры сертификации.

6. Нажмите правой кнопкой мыши по открывшемуся списку, выберите Импорт и импортируйте ключ Ideco NGFW.

7. После перезагрузки рабочих станций или выполнения на них команды gpupdate /force сертификат появится в локальных хранилищах сертификатов и будет установлен нужный уровень доверия к нему.

Настройка повторного шифрования трафика

1. На вкладке Сервисы -> Сертификаты -> Загруженные сертификаты загрузите сертификат, который будет использоваться для шифрования.

2. Перейдите на вкладку Правила трафика -> Контент-фильтр -> Настройки.

3. Выберите в пункте Повторное шифрование сертификат, загруженный на шаге 1.

Клиенты должны иметь загруженный сертификат в доверенных хранилищах. Рекомендации по настройке компьютера пользователя можно найти в разделе Установка корневого сертификата на рабочей станции.

Возможные проблемы и методы решения

Проблема	Решение
Включения расшифровки трафика может быть недостаточно для подмены сертификата некоторых сайтов (например, ya.ru, google.com).	Включить опцию Блокировать протоколы QUIC и HTTP/3 на вкладке Правила трафика -> Контент-фильтр -> Настройки.
Браузер не использует системное хранилище сертификатов.	1. Добавить сертификат Ideco NGFW в доверенные сертификаты браузера 2. В Mozilla Firefox присвоить параметру security.enterprise_roots.enabled (в about:config) значение true для доверия системным сертификатам.
На локальной машине используется антивирус, проверяющий HTTPS-трафик методом подмены сертификатов (сайты могут не открываться из-за двойной подмены сертификатов).	Отключить в настройках антивируса проверку HTTPS-трафика.
Включена SNI-фильтрация (сервер не пропускает по HTTPS-порту трафик, отличный от HTTPS).	Разрешить обход прокси-сервера к нужным ресурсам.
Блокировка HTTPS-ресурсов без отображения страницы блокировки.	Настроить доверие корневому SSL-сертификату NGFW (даже при включенной только SNI-фильтрации), так как при блокировке HTTPS-ресурса будет применен SSL-bumping с подстановкой SSL-сертификата NGFW для подмены контента ресурса страницей о его блокировке сервером.