F5 BIG-IP Beispielkonfiguration als Reverse Proxy in der IGEL UMS mit SSL Offloading

In diesem Artikel finden Sie eine Beispielkonfiguration von F5 BIG-IP für SSL Offloading in der IGEL Universal Management Suite (UMS).

Voraussetzungen

Die Anforderungen an UMS und Zertifikatskonfiguration für einen Reverse Proxy sind in UMS für die Integration eines Reverse Proxy mit SSL Offloading konfigurieren zusammengefasst.

Prozessübersicht

Die Konfigurationsaufgaben für F5 BIG-IP sind:

• UMS- / ICG-Konfiguration und Zertifikatexport wie unter UMS für die Integration eines Reverse Proxy mit SSL Offloading konfigurieren beschrieben

• UMS Zertifikatsverwaltung (Web UMS und EST CA)

• Konfiguration von UMS Backend Node und Pool

• iRule-Konfiguration zur Weiterleitung des Client-Zertifikats

• SSL Client Profile Konfiguration

• SSL Server Profile Konfiguration

• Virtual Server Konfiguration

Zertifikatsverwaltung

Die in UMS für die Integration eines Reverse Proxy mit SSL Offloading konfigurieren erstellten Zertifikate müssen in der F5 BIG-IP Anwendung hinzugefügt werden. BIG-IP bietet eine zentrale Zertifikatsverwaltung.

Zur Konfiguration der UMS Web-Zertifikate / Schlüssel:

1. Fügen Sie den UMS Web Private Key hinzu.
   

   

   
   

2. Fügen Sie das UMS Web-Zertifikat hinzu.
   

   

   
   

3. Fügen Sie die UMS Web-Zertifikatskette hinzu.
   

   

   
   

4. Fügen Sie das UMS EST CA-Zertifikat hinzu.
   

   

   
   

5. Stellen Sie sicher, dass alle Zertifikate importiert wurden.
   

   

Konfiguration von Backend Node und Pool

Der UMS Server muss als Backend-Server konfiguriert werden

1. Fügen Sie einen Monitor hinzu und konfigurieren Sie ihn, um zu prüfen, ob die UMS Info-URL erreichbar ist.
   Folgende Eigenschaften müssen gesetzt werden:

   Type	HTTPS
   Send String	GET /info\r\n
   Receive String	IGEL Universal Management Suite

   

2. Erstellen Sie einen neuen Node und setzen Sie die Adresse des UMS Servers.
   

   

   
   

3. Fügen Sie einen Pool hinzu. In der Pool-Konfiguration müssen mindestens der Monitor und der Node-Server konfiguriert werden. Es wird keine spezifische Load-Balancing-Methode empfohlen.
   

   

IRULE-Konfiguration zur Weiterleitung des Client-Zertifikats im HTTP-Header

iRule ist die Skriptunterstützung von F5 BIG-IP.

Das Client-Zertifikat kann aus HTTP_REQUEST gelesen werden. Die Variable [X509::whole [SSL::cert 0]] enthält es im PEM-Format.

Die UMS erwartet das Zertifikat URL-kodiert, daher muss es entsprechend kodiert werden: [URI::encode $ssl_cert]

Beispiel für einen Forwarding Header:

when HTTP_REQUEST {
    set DEBUG 1
 
    if { [SSL::cert count] > 0 } then {
        set ssl_cert [X509::whole [SSL::cert 0]]

        set encodedCert [URI::encode $ssl_cert]
        HTTP::header insert "X-SSL-CERT" "$encodedCert"

        if { $DEBUG } {
            log local0. "Client Certificate: $ssl_cert"
            log local0. "Client Certificate Accepted: [X509::subject [SSL::cert 0]]"

            log local0. "Client inserted"
            log local0. [HTTP::header names]
        }       
      
    } else {
        log "No Client SSL Certificate!"
    }
}

SSL Client Profile Konfiguration

Das SSL Client Profile wird verwendet, um die SSL-Konfiguration für alle eingehenden Anfragen an die Virtual Server festzulegen.

1. Erstellen Sie ein neues SSL Client Profile und konfigurieren Sie es entsprechend der Abbildung.
   

   

   
   

2. Konfigurieren Sie die UMS Web-Zertifikate und den Key.

   

   
   

3. Für die Verbindung vom Gerät zur UMS wird TLSv1.3 verwendet, daher müssen die Cipher entsprechend angepasst werden.

   Ciphers	f5-default kann als Cipher Group verwendet werden
   Options List	Deaktivieren Sie den Eintrag „No TLSv1.3“ in der Liste der aktivierten Optionen

   

4. Die erforderlichen Anpassungen für die Client-Zertifikatsauthentifizierung sind:
   

   Client Certificate	Dieser Wert muss auf request gesetzt werden
   Trusted Certificate Authorities	Auf UMS-ESTCA-Certificate setzen
   Advertised Certificate Authorities	Kann auf UMS-ESTCA-Certificate gesetzt werden

   

SSL Server Profile Konfiguration

Das SSL Server Profile wird verwendet, um die SSL-Konfiguration für alle Anfragen an die Backend-Server (UMS) festzulegen.

1. Erstellen Sie ein neues SSL Server Profile.
   

2. Setzen Sie den Chain-Wert auf die UMS Web-Zertifikatskette.
   

3. Setzen Sie die TLSv1.3-Konfiguration identisch zur oben beschriebenen SSL Client Profile Konfiguration.
   

   

Virtual Server Konfiguration

Der Virtual Server definiert den Listener in F5 BIG-IP.

1. Setzen Sie die folgenden Werte:

   Type	Standard
   Source Address	Von welcher IP Anfragen erlaubt sind. Setzen Sie den Wert auf *, wenn dies nicht geprüft werden soll
   Destination Address	Die Adresse, unter der dieser Virtual Server erreichbar ist
   Service Port	Wählen Sie den UMS-Port

   

   Protocol	TCP
   HTTP Profile	http, erforderlich zur Auswertung des HTTP-Headers
   SSL Profile (Client)	Fügen Sie das zuvor erstellte Client SSL Profile hinzu
   SSL Profile (Server)	Fügen Sie das zuvor erstellte Server SSL Profile hinzu
   Source Address Translation	Auf Auto Map setzen

   
   

2. Fügen Sie dem Virtual Server den Pool und die iRule hinzu.