Menyiapkan pemeriksaan TLS

Halaman ini menjelaskan cara menyiapkan pemeriksaan Transport Layer Security (TLS) untuk Cloud Next Generation Firewall.

Sebelum memulai

Sebelum mengonfigurasi pemeriksaan TLS, selesaikan tugas di bagian berikut.

Mengaktifkan Certificate Authority Service

Cloud NGFW menggunakan Certificate Authority Service untuk membuat certificate authority (CA) perantara. Cloud NGFW menggunakan CA perantara ini untuk membuat sertifikat yang digunakan untuk pemeriksaan TLS.

Anda dapat mengaktifkan CA Service API menggunakan Google Cloud konsol:

Peran yang diperlukan untuk mengaktifkan API

Untuk mengaktifkan API, Anda memerlukan peran IAM Service Usage Admin (roles/serviceusage.serviceUsageAdmin), yang berisi izin serviceusage.services.enable. Pelajari cara memberikan peran.

Mengaktifkan API

Untuk mengaktifkan CA Service menggunakan Google Cloud CLI, gunakan perintah berikut:

   gcloud services enable privateca.googleapis.com
  

Mengaktifkan Certificate Manager

Cloud NGFW menggunakan Certificate Manager untuk membuat konfigurasi kepercayaan. Jika Anda tidak ingin menggunakan konfigurasi kepercayaan, lewati langkah ini.

Anda dapat mengaktifkan Certificate Manager API menggunakan Google Cloud konsol:

Peran yang diperlukan untuk mengaktifkan API

Untuk mengaktifkan API, Anda memerlukan peran IAM Service Usage Admin (roles/serviceusage.serviceUsageAdmin), yang berisi izin serviceusage.services.enable. Pelajari cara memberikan peran.

Mengaktifkan API

Untuk mengaktifkan Certificate Manager menggunakan Google Cloud CLI, gunakan perintah berikut:

   gcloud services enable certificatemanager.googleapis.com
  

Membuat konfigurasi kepercayaan

Ini langkah opsional. Untuk membuat konfigurasi kepercayaan, ikuti langkah-langkah di bagian ini.

Catatan: Jika Anda sudah memiliki CA yang digunakan untuk membuat sertifikat server, lewati ke langkah terakhir dalam prosedur berikut.

1. Buat CA pool.

   CA pool yang Anda buat pada langkah ini berbeda dengan CA pool yang Anda buat untuk mengonfigurasi kebijakan pemeriksaan TLS.

2. Buat CA root menggunakan CA pool yang Anda buat sebelumnya.

   Atau, gunakan CA root eksternal yang ada dengan membuat CA bawahan dalam layanan CA. CA root eksternal harus menandatangani CA bawahan ini. Agar Cloud NGFW dapat menggunakan CA, CA root dan bawahan di CA pool harus memiliki panjang jalur minimal satu. Kolom pathLenConstraint dalam sertifikat CA menentukan panjang jalur. Kolom ini menentukan jumlah maksimum sertifikat CA bawahan yang dapat ada di jalur sertifikasi di bawah sertifikat CA saat ini.

3. Buat sertifikat menggunakan kunci yang dibuat otomatis. Gunakan nama CA pool yang sama dengan yang Anda buat sebelumnya.

4. Dapatkan sertifikat publik CA dari sertifikat yang dibuat.

   $PEM-CERT=$(gcloud privateca roots describe ROOT_CA_NAME \
      --location LOCATION \
      --project PROJECT_ID \
      --pool CA_POOL \
      --format "value(pemCaCertificates)")
   

   Ganti kode berikut:

   • ROOT_CA_NAME: nama CA root
   • LOCATION: lokasi CA root
   • PROJECT_ID: project ID CA root
   • CA_POOL: nama CA pool tempat sertifikat akan dibuat

5. Buat dan impor konfigurasi kepercayaan menggunakan PEM-CERT yang diperoleh pada langkah sebelumnya. Jika Anda menggunakan CA sendiri, gunakan sertifikat publik yang diperoleh dari CA Anda.

Anda menggunakan konfigurasi kepercayaan ini untuk membuat kebijakan pemeriksaan TLS.

Membuat CA pool

Anda harus membuat CA pool sebelum dapat menggunakan CA Service untuk membuat CA.

Penting: Cloud NGFW secara berkala membuat CA perantara yang ditandatangani oleh CA pool Anda di Certificate Authority Service, lalu menggunakan CA perantara ini untuk menandatangani sertifikat server. Cloud NGFW tidak mendukung kebijakan penerbitan atau batasan nama sertifikat yang dilampirkan ke CA pool. Jika CA pool memiliki batasan yang dilampirkan, Cloud NGFW dapat membuat sertifikat yang tidak valid.

Untuk membuat CA pool, ikuti petunjuk di Membuat CA pool.

Anda menggunakan CA pool ini untuk membuat kebijakan pemeriksaan TLS.

Membuat CA root

Jika tidak memiliki CA root yang ada, Anda dapat membuatnya dalam CA Service. Untuk membuat CA root, ikuti petunjuk di Membuat CA root, dan gunakan CA pool yang sama dengan yang Anda buat sebelumnya (lihat bagian Membuat CA pool).

Untuk menggunakan CA root eksternal yang ada, buat CA bawahan dalam layanan CA, yang ditandatangani oleh CA root eksternal Anda.

Untuk NGFW Enterprise, sertifikat Bawahan memerlukan batasan panjang jalur minimal 1 agar dapat membuat CA perantara. Secara default, sertifikat bawahan dan CSR dibuat dengan batasan panjang jalur 0. Hal ini harus diubah. Saat ini, hal ini tidak dapat dilakukan melalui konsol dan hanya melalui perintah Google Cloud CLI yang disediakan CAS menggunakan beberapa flag berikut

• Flag --extended-key-usages: menentukan penggunaan kunci yang diperluas untuk sertifikat.

• Flag --key-usages: menentukan penggunaan kunci untuk sertifikat.

• Flag --max-chain-length: menentukan kedalaman maksimum CA bawahan yang diizinkan di bawah CA ini untuk sertifikat CA.

gcloud

gcloud privateca subordinates create SUBORDINATE_CA_ID \
    --pool=SUBORDINATE_POOL_ID \
    --location=LOCATION \
    --create-csr --csr-output-file=FILE_NAME \
    --key-algorithm="ec-p256-sha256" \
    --subject="CN=Example Server TLS CA, O=Example LLC
    --key-algorithm=rsa-pss-4096-sha256 \
    --key-usages=cert_sign,crl_sign \
    --extended-key-usages=server_auth \
    --max-chain-length=1"
  

Ganti kode berikut:

• SUBORDINATE_CA_ID: ID unik CA bawahan.
• SUBORDINATE_POOL_ID: nama CA pool.
• LOCATION: lokasi CA pool.
• FILE_NAME: nama file tempat CSR yang dienkode PEM ditulis.

Tindakan ini akan membuat CSR yang menampilkan hal berikut

    Created Certificate Authority [projects/my-project-pki/locations/us-west1/caPools/SUBORDINATE_POOL_ID/certificateAuthorities/SUBORDINATE_CA_ID] and saved CSR to FILE_NAME.
    

Untuk mengaktifkan CA bawahan, Anda harus menandatangani CSR setelah dibuat.

Membuat akun layanan

Jika tidak memiliki akun layanan, Anda harus membuatnya dan memberikan izin yang diperlukan.

1. Buat akun layanan:

    gcloud beta services identity create \
        --service networksecurity.googleapis.com \
        --project PROJECT_ID
   

   Ganti PROJECT_ID dengan project ID akun layanan.

   Google Cloud CLI membuat akun layanan bernama [e-mail]. Di sini, PROJECT_NUMBER adalah ID unik PROJECT_ID yang Anda berikan dalam perintah sebelumnya.

2. Berikan izin ke akun layanan Anda untuk membuat sertifikat yang menggunakan CA pool Anda:

    gcloud privateca pools add-iam-policy-binding CA_POOL \
        --member 'serviceAccount:SERVICE_ACCOUNT' \
        --role 'roles/privateca.certificateRequester' \
        --location REGION
   

   Ganti kode berikut:

   • CA_POOL: nama CA pool tempat sertifikat akan dibuat
   • SERVICE_ACCOUNT: nama akun layanan yang Anda buat pada langkah sebelumnya
   • LOCATION: region CA pool

Mengonfigurasi pemeriksaan TLS

Sebelum melanjutkan tugas di bagian ini, pastikan Anda telah mengonfigurasi sertifikat, atau telah menyelesaikan tugas prasyarat yang tercantum di bagian Sebelum memulai.

Untuk mengonfigurasi pemeriksaan TLS, selesaikan tugas di bagian berikut.

Membuat kebijakan pemeriksaan TLS

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus diberi izin berikut atau salah satu peran IAM berikut.

Izin

• certificatemanager.trustconfigs.list
• certificatemanager.trustconfigs.use
• privateca.caPools.list
• privateca.caPools.use
• privateca.certificateAuthorities.list
• networksecurity.operations.get
• networksecurity.tlsInspectionPolicies.list
• networksecurity.tlsInspectionPolicies.create

Peran

• compute.securityAdmin
• compute.networkAdmin

Konsol

1. Di Google Cloud konsol, buka halaman TLS inspection policies.

   Buka kebijakan pemeriksaan TLS

2. Di menu pemilih project, pilih project Anda.

3. Klik Create TLS inspection policy.

4. Untuk Name, masukkan nama.

   Jangan menyertakan informasi sensitif seperti informasi identitas pribadi atau data keamanan dalam nama kebijakan pemeriksaan TLS.

5. Opsional: Di kolom Description, masukkan deskripsi.

6. Dalam daftar Region, pilih region tempat Anda ingin membuat kebijakan pemeriksaan TLS.

7. Dalam daftar CA pool, pilih CA pool tempat Anda ingin membuat sertifikat.

   Jika Anda tidak memiliki CA pool yang dikonfigurasi, klik New Pool dan ikuti petunjuk di Membuat CA pool.

8. Opsional: Dalam daftar Minimum TLS version, pilih versi TLS minimum yang didukung oleh kebijakan.

9. Untuk Trust Configuration, pilih salah satu opsi berikut:

   • Public CAs only: Pilih opsi ini jika Anda ingin memercayai server dengan sertifikat yang ditandatangani secara publik.

   • Private CAs only: Pilih opsi ini jika Anda ingin memercayai server dengan sertifikat yang ditandatangani secara pribadi.

     Dalam daftar Private trust configuration, pilih konfigurasi kepercayaan dengan trust store yang dikonfigurasi untuk digunakan dalam memercayai sertifikat server upstream. Untuk mengetahui informasi selengkapnya tentang cara membuat konfigurasi kepercayaan, lihat Membuat konfigurasi kepercayaan.

   • Public and private CAs: Pilih opsi ini jika Anda ingin menggunakan CA publik dan pribadi.

10. Opsional: Dalam daftar Cipher suite profile, pilih jenis profil TLS. Anda dapat memilih salah satu nilai berikut:

    • Kompatibel: memungkinkan kumpulan klien terluas, termasuk klien yang hanya mendukung fitur TLS yang sudah tidak berlaku, untuk melakukan negosiasi TLS.
    • Modern: mendukung berbagai fitur TLS, sehingga memungkinkan klien modern untuk melakukan negosiasi TLS.
    • Restricted: mendukung kumpulan fitur TLS yang dikurangi ditujukan untuk memenuhi persyaratan kepatuhan yang lebih ketat.

    • Kustom: memungkinkan Anda memilih fitur TLS satu per satu.

      Dalam daftar Cipher suites, pilih nama cipher suites yang didukung oleh profil kustom.

11. Klik Create.

gcloud

1. Buat file YAML TLS_INSPECTION_FILE.yaml. Ganti TLS_INSPECTION_FILE dengan nama file pilihan Anda.

2. Tambahkan kode berikut ke file YAML untuk mengonfigurasi kebijakan pemeriksaan TLS.

   name: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME
   caPool: projects/PROJECT_ID/locations/REGION/caPools/CA_POOL
   minTlsVersion: TLS_VERSION
   tlsFeatureProfile: PROFILE_TYPECIPHER_NAME
   excludePublicCaSet: `TRUE`|`FALSE`
   trustConfig: projects/PROJECT_ID/locations/REGION/trustConfigs/TRUST_CONFIG_NAME
   

   Ganti kode berikut:

   • PROJECT_ID: project ID kebijakan pemeriksaan TLS
   • REGION: region tempat kebijakan pemeriksaan TLS dibuat
   • TLS_INSPECTION_NAME: nama kebijakan pemeriksaan TLS Jangan menyertakan informasi sensitif seperti informasi identitas pribadi atau data keamanan dalam nama kebijakan pemeriksaan TLS.

   • CA_POOL: nama CA pool tempat sertifikat akan dibuat

     CA pool harus ada dalam region yang sama.

   • TLS_VERSION: argumen opsional yang menentukan versi TLS minimum yang didukung oleh Cloud NGFW

     Anda dapat memilih salah satu nilai berikut:

     • TLS_1_0
     • TLS_1_1
     • TLS_1_2

   • PROFILE_TYPE: argumen opsional yang menentukan jenis profil TLS

     Anda dapat memilih salah satu nilai berikut:

     • PROFILE_COMPATIBLE: memungkinkan kumpulan klien terluas, termasuk klien yang hanya mendukung fitur TLS yang sudah tidak berlaku, untuk melakukan negosiasi TLS.
     • PROFILE_MODERN: mendukung berbagai fitur TLS, sehingga memungkinkan klien modern untuk melakukan negosiasi TLS.
     • PROFILE_RESTRICTED: mendukung kumpulan fitur TLS yang dikurangi dan ditujukan untuk memenuhi persyaratan kepatuhan yang lebih ketat.
     • PROFILE_CUSTOM: memungkinkan Anda memilih fitur TLS satu per satu.

   • CIPHER_NAME: argumen opsional untuk menentukan nama dari cipher suite yang didukung oleh profil kustom

     Anda hanya menentukan argumen ini jika jenis profil ditetapkan ke PROFILE_CUSTOM.

   • excludePublicCaSet: flag opsional untuk menyertakan atau mengecualikan kumpulan CA publik. Secara default, flag ini ditetapkan ke false. Jika flag ini ditetapkan ke true, koneksi TLS tidak akan memercayai server CA publik. Dalam hal ini, Cloud NGFW hanya dapat membuat koneksi TLS ke server dengan sertifikat yang ditandatangani oleh CA dalam konfigurasi kepercayaan.

   • TRUST_CONFIG_NAME: argumen opsional untuk menentukan nama resource konfigurasi kepercayaan

3. Impor kebijakan pemeriksaan TLS yang Anda buat di bagian Membuat kebijakan pemeriksaan TLS

   gcloud network-security tls-inspection-policies import TLS_INSPECTION_NAME \
       --source TLS_INSPECTION_FILE.yaml \
       --location REGION
   

   Ganti kode berikut:

   • TLS_INSPECTION_NAME: nama kebijakan pemeriksaan TLS
   • TLS_INSPECTION_FILE: nama file YAML kebijakan pemeriksaan TLS

Penting: Sertifikat yang dibuat untuk pemeriksaan TLS memiliki masa berlaku yang singkat. Setelah diterbitkan, sertifikat tidak dapat diubah atau dicabut melalui layanan CA.

Menambahkan kebijakan pemeriksaan TLS ke asosiasi endpoint firewall

Untuk menambahkan kebijakan pemeriksaan TLS ke asosiasi endpoint firewall, ikuti langkah-langkah yang disebutkan di Membuat asosiasi endpoint firewall.

Mengonfigurasi aturan kebijakan firewall dengan pemeriksaan TLS

Untuk mengaktifkan pemeriksaan TLS untuk jaringan Virtual Private Cloud (VPC), tetapkan flag --tls-inspect dalam aturan kebijakan firewall Anda. Flag ini menunjukkan bahwa pemeriksaan TLS dapat dilakukan saat grup profil keamanan diterapkan.

Untuk mempelajari lebih lanjut cara mengaktifkan flag --tls-inspect dalam aturan kebijakan firewall hierarkis, lihat Membuat aturan.

Untuk mempelajari lebih lanjut cara mengaktifkan flag --tls-inspect dalam aturan kebijakan firewall jaringan global, lihat Membuat aturan.

Apa langkah selanjutnya?

• Mengelola pemeriksaan TLS
• Mengonfigurasi layanan pemfilteran URL
• Mengonfigurasi layanan deteksi dan pencegahan penyusupan
• Membuat dan mengelola endpoint firewall