INSSL : passerelle HTTP avec prise en charge SSL

Informations de référence › Manuel de référence du catalogue d'appliance › Catalogue système › Passerelles › INSSL : passerelle HTTP avec prise en charge SSL

INSSL : passerelle HTTP avec prise en charge SSL

Dernière version : 1.5.3-1

Appliance INSSL


Aperçu rapide
Catalogue	Système
Catégorie	Désapprouvé
Volumes d'utilisateur	Oui
Min. mémoire	160 Mo
SE	Linux
Contraintes	non

Remarque : A partir de CA AppLogic 2.8, INSSL est un wrapper d'assemblage qui n'est plus approuvé pour la passerelle NSSLR. Il fournit le même périmètre qu'INSSL dans la version de CA AppLogic antérieure à 2.8, ce qui permet une mise à niveau transparente des applications à l'aide de la classe INSSL.

Présentation fonctionnelle

L'appliance INSSL est une passerelle de couche 7 pour les requêtes HTTP sécurisées. Elle convertit les requêtes en requêtes HTTP non codées. Vous pouvez l'utiliser lorsque le protocole HTTP sécurisé est nécessaire côté client, mais que l'infrastructure de traitement principale ne prend pas en charge SSL ou est dans l'incapacité de le prendre en charge, notamment :

car elle utilise un serveur HTTP rapide et léger sur lequel SSL n'est pas pris en charge
car elle utilise plusieurs serveurs principaux, pour des raisons de performance ou de redondance, connectés via un commutateur à équilibrage de charge
car elle utilise plusieurs serveurs principaux, pour des fonctions dissociées, connectés via un commutateur URL
car elle décharge le chiffrement/déchiffrement SSL sur un serveur distinct pour accroître le débit

INSSL fournit un point d'entrée derrière un pare-feu pour le trafic réseau dans une application CA AppLogic, que vous pouvez configurer avec une adresse IP statique accessible via Internet.

Pour prendre en charge des applications qui doivent s'afficher à une adresse IP unique pour plusieurs services, vous pouvez configurer SSL pour diriger le trafic non HTTP de façon transparente vers un terminal de sortie distinct. Pour les connexions de ce type, l'appliance agit comme un routeur NAT/pare-feu de couche 3.

Ressources

Ressource	Minimum	Maximum	Valeur par défaut
UC	0.05	4	0.05
Mémoire	160 Mo	2 Go	160 Mo
Bande passante	1 Mbit/s	2 Gbits/s	200 Mbits/s

Terminaux

Nom	Dir.	Prot.	Description
http	sortie	HTTP	Les requêtes HTTPS et/ou HTTP reçues sur l'adresse IP externe configurée sont dirigées vers la sortie HTTP comme de simples requêtes HTTP sur le port HTTP standard 80. En plus des en-têtes HTTP fournis par le client, les requêtes transférées contiennent également les en-têtes informatifs suivants : X-Forwarded-For : adresse IP du client distant. Les scripts CGI côté serveur doivent utiliser cet en-tête au lieu de l'adresse IP distante. Afin d'éviter toute usurpation, les en-têtes X-Forwarded-For reçu du client sont ignorés. X-Forwarded-Proto: Https : indique que le client est connecté à HTTPS. C'est à l'application principale qu'il revient d'utiliser cet en-tête pour établir une distinction entre les connexions HTTP et HTTPS.
aux	sortie	Indifférent	Sortie pour les autres protocoles, si configurée. Reportez-vous aux propriétés l3_accept_*.
MON	sortie	CCE	Envoie des statistiques de performances et d'utilisation des ressources.

Propriétés

Nom	Type	Description
ip_addr	Adr. IP	Adresse IP externe de la passerelle. Cette propriété n'ayant pas de valeur par défaut, elle doit être définie.
netmask	Adr. IP	Masque de réseau. Cette propriété n'ayant pas de valeur par défaut, elle doit être définie. Valeur par défaut : vide.
gateway	Adr. IP	Passerelle par défaut pour le trafic sortant. Valeur par défaut : vide.
l7_accept	enum	Indique les types de trafic HTTP à accepter pour le transfert vers le terminal HTTP. Valeurs valides : https, http, both, none. Si la valeur est définie sur none, tout le trafic est redirigé uniquement en fonction des propriétés l3_accept_*. Valeur par défaut : both.
l3_accept_proto	enum	Spécifie les protocoles à renvoyer au terminal aux. Valeurs valides : none, tcp, udp, raw, all. Si la valeur est définie sur tcp ou udp, la propriété l3_accept_port peut être utilisée pour spécifier le port. Si elle est définie sur raw, la propriété l3_accept_port spécifie le numéro du protocole. Si la valeur est définie sur all, le trafic entrant sur l'interface externe est transféré vers le terminal aux. Notez que la propriété l7_accept est prioritaire sur celle-ci. Si vous définissez l7_accept sur une autre valeur que none, tous le trafic http(s) est envoyé au terminal http. Le reste du trafic est acheminé vers aux comme spécifié par cette propriété. Valeur par défaut : none
l3_accept_port	chaîne	Liste de protocoles séparés par une virgule ou un espace pour accepter et acheminer le protocole spécifié par l3_accept_proto vers le terminal aux. Les protocoles de la liste peuvent être spécifiés en tant que numéros de port ou noms de protocole standard (par exemple, ftp, smtp etc., lors de la spécification des ports tcp/udp ; ou gre, tcp, etc. lors de l'utilisation de protocoles bruts). Vous pouvez également spécifier des plages de ports (1024:10000, 0:1024). Si aucune valeur n'est spécifiée, tous les ports du protocole spécifié sont transférés. Remarque : Si vous définissez l3_accept_proto sur raw, vous devez spécifier cette propriété qui, dans ce cas, spécifie le numéro de protocoles. (Vous pouvez spécifier plusieurs protocoles bruts, mais pas de plage. Par exemple, 20:30 n'est pas autorisé.) Valeur par défaut : all
allowed_hosts	Chaîne	Liste des hôtes et/ou des sous-réseaux autorisés à se connecter. Séparez plusieurs entrées à l'aide d'espaces ou de virgules. Exemple de format pris en charge : 192.168.1.2 192.168.1.0/24 192.168.2.0/255.255.255.0. Valeur par défaut : 0.0.0.0/0 (tout autorisé)
cert_file	chaîne	Nom de fichier (relatif à la racine du volume de données) du certificat de serveur que cette instance de passerelle doit présenter au client. Veuillez noter qu'un certificat valide doit être présent sur le volume de données configuré (voir Volumes ci-dessous) à l'emplacement spécifié par cette propriété si l7_accept est défini sur https ou both. Dans le cas contraire, SSL ne parvient pas à démarrer. Valeur par défaut : server.pem
webdav	enum	Cette propriété n'a aucun effet sur le comportement de l'appliance. Elle est conservée à des fins de compatibilité avec les anciennes versions. Valeur par défaut : off
timeout	Entier	Spécifie le nombre de secondes pendant lequel Pound patiente pour obtenir la sortie du serveur principal.. Si le serveur principal n'envoie pas de sortie pour le délai d'expiration en secondes, la connexion est fermée. Par défaut : 300
unsafe_ssl	chaîne	Activez l'utilisation des chiffrements SSL non sécurisés à des fins de compatibilité avec des navigateurs hérités. La valeur par défaut disable désactive les chiffrements SSLv2 ainsi que certains autres cryptages SSLv3 et TLSv1 qui ne sont pas considérés sécurisés. Il est recommandé de laisser cette propriété définie sur Disabled, sauf si vous devez prendre en charge des sessions HTTPS pour des navigateurs hérités qui fonctionnent uniquement avec SSLv2. Lorsque la valeur est activée, tous les chiffrements SSL disponibles sur le système peuvent être utilisés pendant les sessions HTTPS. Valeur par défaut : disabled. Cette propriété a été ajoutée dans la version 1.4.2.

Volumes

Nom	Description
clé	Volume de données en lecture seule (espace réservé) contenant au minimum la clé de signature de serveur SSL. Le fichier doit être au format PEM situé dans le répertoire racine du volume clé, nommé server.pem.