Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Barracuda Web Application Firewall

Kopiera länk till sidan “Barracuda Web Application Firewall”

← Alla integrationer

Webbserver · Brandvägg och VPN · Lastbalanserare

Installerar och förnyar certifikatet på en HTTPS-tjänst eller en SNI-domän i Barracuda WAF med TLS-kontroll och automatisk rollback.

Appliancen kör paketet och ansluter till Barracuda Web Application Firewall genom Barracuda WAF REST API v3.2 över HTTPS på port 8443. Ingen agent installeras på Barracuda Web Application Firewall.

Så går det till

  1. Appliancen ansluter till Barracuda Web Application Firewall genom Barracuda WAF REST API v3.2 på port 8443.
  2. Innan något ändras hämtar paketet certifikatet som målet visar över TLS med rätt servernamn (SNI) och kontrollerar på serienumret att det är certifikatet som WAF:en har bundit till målet. Kan det inte avgöras entydigt, eller svarar tjänsten inte, ändras inget, och resultatet har en logg som kan delas.
  3. Certifikat, nyckel och kedja laddas upp som ett nytt certifikatobjekt med namnet sslbrain- och 12 tecken av fingeravtrycket, utan export av den privata nyckeln. Paketet sätter det bara på målets plats i tjänstens SSL Security (RSA eller ECDSA efter certifikatets nyckel) och läser tillbaka inställningarna. Andra tjänster, SNI-domäner och inställningar ändras inte. Om det misslyckas: Visar tillbakaläsningen något annat än den enda ändringen skickas den avsedda inställningen en gång till. Läses den inte heller rätt tillbaka skrivs de tidigare inställningarna tillbaka, läses tillbaka, och det tidigare certifikatet kontrolleras.
  4. Kontroll: paketet gör TLS-handskakningar mot tjänstens adress och port med samma servernamn tills tjänsten visar det nya certifikatet. Om det misslyckas: Visar tjänsten inte det nya certifikatet inom väntetiden sätter paketet tillbaka den tidigare bindningen i samma körning, läser tillbaka den och kontrollerar att det tidigare certifikatet visas igen. Har tjänsten både ett RSA- och ett ECDSA-certifikat och kan kontrollen bara förhandla fram det andra, oförändrade certifikatet, rapporteras det som en varning utan rollback.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över HTTPS till Barracuda WAF REST API v3.2, port 8443. Ingen agent installeras.
Tjänstens portar
8443
Ni behöver
Användarnamn och lösenord för en WAF-administratör som får läsa tjänster och certifikat och skriva certifikat och tjänstens SSL Security. Lösenordet skickas bara i inloggningsförfrågan och sessionens token bara i Authorization-headern, aldrig i en URL eller på en kommandorad. Discovery visar alla HTTPS-tjänster och SNI-domäner, så regeln väljer en av dem.
Plattform
Barracuda Web Application Firewall (hårdvara och virtuell) med firmware 11.0 eller senare och REST API v3.2
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
barracuda-waf-api 1.0.0
Observera
  • WAF:ens egna Let's Encrypt-certifikat förnyas automatiskt av WAF:en. Väljer ni ett mål som använder ett sådant certifikat flyttar paketet bara det målet till sitt eget certifikat. Let's Encrypt-certifikatet, dess automatiska förnyelse och andra tjänster som använder det ändras inte och tas inte bort. Discovery visar vilka mål som använder WAF:ens Let's Encrypt.
  • Paketet tar aldrig bort något. Får paketet inget svar på en ändring läser det WAF:en innan det gör mer och skickar aldrig samma ändring två gånger. Har någon annan ändrat tjänstens SSL Security under uppladdningen byter paketet inte.
  • Rollback sätter tillbaka det tidigare certifikatet på målets plats, bara medan platsen fortfarande har certifikatet som deploy satte. Annars ändras inget.
  • Barracuda publicerar REST API v3.2 för firmware 11.0. Svarar en WAF inte på v3.2 rapporterar paketet det och ändrar inget. Firmware 11.0 rättade fel som ändrade SNI- och protokollinställningar när SNI-certifikat sattes via API:et.
  • Anslutningen till WAF:ens REST API verifieras som standard mot systemets trust store, ett CA-bundle eller ett fingeravtryck i MANAGEMENT_TLS_PIN_SHA256. När appliancen når tjänsten genom NAT anges adress, port och servernamn för kontrollen i BARRACUDA_SERVICE_HOST, BARRACUDA_SERVICE_PORT och BARRACUDA_SERVICE_SNI.
  • I ett HA-par ändrar paketet den enhet det ansluter till. Barracuda dokumenterar konfigurationssynkronisering mellan partnerna; paketet läser inte partnern.
  • Barracuda CloudGen Firewall och WAF-as-a-Service är andra produkter med egna API:er.

Krav på certifikatet

Nyckel: RSA eller ECDSA. Barracuda dokumenterar ingen gräns för nyckelstorlek vid uppladdning och inget maximum; WAF:en skapar själv RSA 1024, 2048 och 4096 bitar och ECDSA P-256, P-384 och P-521. Paketet tar RSA 2048, 3072 och 4096 bitar och ECDSA P-256 och P-384. Ett RSA-certifikat hamnar på tjänstens RSA-plats och ett ECDSA-certifikat på ECDSA-platsen.

Common Name, clientAuth EKU och keyEncipherment KU: Barracuda dokumenterar inte att något av dem krävs. Uppladdningen tar inget CN, och paketet kräver inget av dem, så certifikat från profiler utan CN, som Let's Encrypt tlsserver och Google minimal, levereras som andra.

Namn: wildcard- och SAN-certifikat är dokumenterade för HTTPS-tjänster och SNI. IP-adresser som namn och ett maximalt antal SAN-namn vid uppladdning är inte dokumenterade; gränsen på 99 SAN-namn gäller WAF:ens egen Let's Encrypt-beställning.

Format och kedja: WAF:en tar PEM-certifikat med separat nyckel eller PKCS#12; DER och JKS är inte dokumenterade. Paketet laddar upp PEM med en okrypterad nyckel, så PKCS#12-kryptering (3DES/RC2 eller AES), som Barracuda inte dokumenterar, har ingen betydelse här. Kedjan laddas upp med servercertifikatet först och därefter varje utfärdare i ordning, som Barracudas guide beskriver; paketet sorterar själv kedjan och skickar med en medföljande root.

Namn på certifikatobjektet: REST API v3.2 publicerar ingen längd eller teckenregel; paketet använder sslbrain- och 12 hextecken (21 tecken). Livslängd: Barracuda dokumenterar ingen minsta eller största livslängd. Från firmware 12.2 stöds inte certifikat signerade med MD5 eller SHA-1.

Kom igång