Шифрование TLS с помощью Azure Front Door

Протокол TLS, ранее известный как протокол SSL, является стандартной технологией безопасности для установления зашифрованной связи между веб-сервером и клиентом, например веб-браузером. Эта связь гарантирует, что все данные, передаваемые между сервером и клиентом, остаются приватными и зашифрованными.

Чтобы обеспечить соответствие требованиям безопасности, Azure Front Door поддерживает шифрование TLS от конца до конца. Разгрузка TLS/SSL Front Door завершает подключение TLS, расшифровывает трафик в Azure Front Door и повторно шифрует трафик, прежде чем перенаправлять его в источник. Если подключения к источнику используют общедоступный IP-адрес источника, рекомендуется настроить HTTPS в качестве протокола пересылки в Azure Front Door. Используя ПРОТОКОЛ HTTPS в качестве протокола пересылки, можно применить сквозное шифрование TLS для всей обработки запроса от клиента к источнику. Разгрузка TLS/SSL также поддерживается при развертывании частного источника с помощью Azure Front Door Premium с помощью функции Приватный канал.

Сквозное шифрование TLS

Сквозное TLS-шифрование защищает конфиденциальные данные во время передачи к источнику и позволяет воспользоваться функциями Azure Front Door, такими как глобальная балансировка нагрузки и кэширование. Некоторые функции также включают в себя маршрутизацию на основе URL-адресов, разделение TCP, кэширование в пограничном расположении, ближайшем к клиентам, и настройку HTTP-запросов в пограничной зоне.

Служба Azure Front Door разгружает сеансы TLS в пограничной зоне и расшифровывает клиентские запросы. Затем он применяет настроенные правила маршрутизации для маршрутизации запросов к соответствующему источнику в группе источников. Затем Azure Front Door запускает новое подключение TLS к источнику и повторно шифрует все данные с помощью сертификата источника перед передачей запроса в источник. Любой ответ от источника шифруется с помощью того же процесса обратно пользователю. Вы можете настроить в Azure Front Door протокол HTTPS в качестве протокола переадресации, чтобы включить сквозное шифрование TLS.

Поддерживаемые версии протокола TLS

Azure Front Door поддерживает две версии протокола TLS: TLS версии 1.2 и 1.3. Все профили Azure Front Door, созданные после сентября 2019 г., используют TLS 1.2 как минимум по умолчанию с включенным TLS 1.3. В настоящее время Azure Front Door не поддерживает клиентскую/взаимную аутентификацию (mTLS).

Для Azure Front Door Standard и Premium вы можете настроить заранее определённую политику TLS, либо выбрать набор шифров TLS, исходя из потребностей вашей организации. Дополнительные сведения см. в политике TLS Azure Front Door и настройке политики TLS в пользовательском домене Front Door.

Для Azure Front Door classic и Microsoft CDN classic можно настроить минимальную версию TLS в Azure Front Door в настройках пользовательского домена HTTPS, используя портал Azure или API Azure REST. Как минимум для версии TLS 1.2, процесс переговоров стремится создать TLS 1.3, а затем TLS 1.2. Когда Azure Front Door инициирует TLS-трафик к источнику, он пытается договориться о лучшей версии TLS, которую источник может надёжно и стабильно принимать. Поддерживаемые версии TLS для подключений источника: TLS 1.2 и TLS 1.3. Если вы хотите настроить набор шифров, перенесите Front Door classic и Microsoft CDN classic на стандарт и премиум Azure Front Door.

Поддерживаемые сертификаты

При создании сертификата TLS/SSL необходимо создать всю цепочку сертификатов с разрешенным центром сертификации (ЦС), который входит в список доверенных ЦС Майкрософт. Если вы используете неразрешённый CA, Azure Front Door отклоняет ваш запрос.

Сертификаты из внутренних центров сертификации или самозаверяющиеся сертификаты запрещены.

Объединение статуса по протоколу Online Certificate Status Protocol (OCSP)

Azure Front Door по умолчанию поддерживает степлеринг OCSP и не требует настройки.

Соединение TLS с сервером источника (Azure Front Door к серверу источника)

Для HTTPS-соединений Azure Front Door ожидает, что ваш исходный источник представит сертификат от действующего сертификационного центра (CA) с именем субъекта, совпадающим с именем исходного хоста. Например, если вы установили исходное имя hostname, но myapp-centralus.contoso.net сертификат, который вы показываете во время TLS-рукопожатия, не содержит myapp-centralus.contoso.net или *.contoso.net не содержит имя субъекта, Azure Front Door отказывается от подключения, и клиент видит ошибку.

В определённых случаях, например, тестировании, вы можете отключить проверку имени субъекта сертификата для вашего Azure Front Door как обходной путь для устранения неисправных HTTPS-соединений. Источник должен по-прежнему предоставлять сертификат с допустимой доверенной цепочкой, но нет необходимости, чтобы он соответствовал hostname источника.

Соединение фронтенд TLS (от клиента к Azure Front Door)

Чтобы включить протокол HTTPS для безопасной доставки контента на пользовательском домене Azure Front Door, используйте либо сертификат, которым управляет Azure Front Door, либо ваш собственный сертификат.

Автоматическое обновление сертификатов

Для опции управляемого сертификата Azure Front Door Standard/Premium Azure Front Door управляет сертификатами и автоматически меняет их в течение 45 дней после истечения срока действия. Для опции управляемых сертификатов Azure Front Door Classic и Azure CDN Classic Azure Front Door управляет сертификатами и автоматически ротирует их в течение 90 дней после истечения срока действия. Если вы используете управляемый сертификат классического уровня и видите, что срок действия сертификата меньше чем через 60 дней или 30 дней для уровня Standard/Premium, подайте заявку в поддержку.

Для пользовательского TLS/SSL-сертификата:

1. Установите секретную версию на «Последней », чтобы сертификат автоматически переходил к последней версии, когда новая версия сертификата доступна в вашем хранилище ключей. Для индивидуальных сертификатов сертификат подтверждается в течение 3-4 дней с новой версией сертификата, независимо от срока истечения срока действия сертификата.

2. Если выбрать конкретную версию, авторотация не поддерживается. Для вращения сертификата нужно вручную выбрать новую версию. Внедрение новой версии сертификата или секрета занимает до 24 часов.

   Примечание.

   Azure Front Door Standard и Premium автоматически вращают управляемые сертификаты только тогда, когда пользовательский домен CNAME указывает напрямую на конечную точку Azure Front Door. Для косвенных конфигураций CNAME используйте сертификат «bring your-your-own», так как Azure Front Door пытается проверить домен с помощью валидации токена на основе файлов, когда трафик достигает Azure Front Door, но успешная валидация не гарантирована.

   Служебный принципал Front Door нуждается в доступе к ключевому хранилищу. Обновлённая операция развертывания сертификатов от Azure Front Door не вызывает производственных простоев, если не изменилось имя субъекта или альтернативное имя субъекта (SAN) для сертификата.

Поддерживаемые комплекты шифров

Для TLS 1.2 и 1.3 Azure Front Door поддерживает следующие наборы шифров:

• TLS_AES_256_GCM_SHA384 (только TLS 1.3)
• TLS_AES_128_GCM_SHA256 (только TLS 1.3)
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

Используйте политику TLS для настройки определенных наборов шифров. Azure Front Door Standard и Premium предлагают два механизма управления политикой TLS: вы можете использовать предопределенную политику или настраиваемую политику в соответствии с собственными потребностями. Дополнительные сведения см. в статье Настройка политики TLS в пользовательском домене Front Door.

Связанный контент