- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
35-解密策略典型配置举例
本章节下载： 35-解密策略典型配置举例 (1.15 MB)
本文档介绍设备的解密策略配置举例，解密策略对通过设备的入接口、源IP、目的IP、HTTPS对象进行访问控制，主要是对使用SSL协议传输的流量做审计。支持HTTPS、邮箱类审计功能，并产生审计日志。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解解密策略特性。
· 当设备DNS设置成全局模式时，用户电脑的DNS需要指向设备的入接口，以保证DNS过设备，解密策略才能生效。若DNS不经过设备的话，解密策略不生效。
· HTTPS解密策略所需证书为CA证书。
· 部分邮箱客户端（网易邮箱大师/闪电邮）的SMTP是使用的TLS加密，TLS加密不支持解密。
· 部分HTTPS站点的客户端会进行证书校验，会显示非安全连接。
如图1所示，某公司内网存在测试网段和办公网段，IP地址分别为192.10.1.0/24和172.16.10.0/24。使用设备的ge2和ge3接口路由模式部署在网络中，设备作为出口网关设备，下联二层交换机。在设上启用解密策略功能。
· 配置需要审计的HTTPS对象；
· 生成CA证书；
· 导入本地证书；
· 启用审计策略；
· 启用解密策略；
· 引用证书。
本举例是在R6614版本上进行配置和验证的。
· 解密策略用的证书为CA证书，先在证书管理>根CA配置管理页面生成CA证书，再导出证书至PC本地。
· DNS回应报文IP地址解析。443端口的站点（包含网页版邮箱）解密，需首先把站点域名转化为IP地址，作为流量过滤条件，只有符合条件的HTTPS流量进入解密流程。
· 代理模块需要和客户端建立SSL连接，因此需要给客户端安装证书，设备需要支持证书签发功能及导入导出功能，且可以被解密策略引用。解密策略可根据当前导入的证书选择使用哪个证书。
· 邮箱类解密分为网页版邮箱和客户端版邮箱。网页版邮箱内置需要审计的域名对用户不可见，对外通过配置说明文档体现网页版邮箱支持规格。客户端邮箱解密支持SMTP、POP3、IMAP协议。有些SMTP使用的TLS加密不支持审计。
· 如果是网桥模式组网，配置步骤是一致的，需要注意的是网桥接口下一定要配置IP地址，并且要保证桥接口IP能访问外网。
如图2所示，进入“策略配置>对象管理>URL对象>HTTPS对象”，点击<新建>。
如图3所示，进入“策略配置>对象管理>CA服务器>根CA配置管理”，点击<生成CA根证书>。
图3 生成CA根证书
如图4所示，在生成CA证书以后，导出证书。
图4 导出CA证书
如图5所示，进入“策略配置>对象管理>本地证书>证书>本地证书”，点击<导入>，选择之前生成的CA证书。
如图6所示，进入“策略配置>审计策略”，点击<新建>，配置审计策略，选择所有审计对象。
图6 启用审计策略
如图7所示，创建成功的审计策略如下：
如图8所示，进入“策略配置>SSL解密策略”，点击<新建>，配置解密策略。
进入“策略配置>SSL解密策略”，点击<证书列表>，引用生成证书。（https管理端口为443时，需要在系统管理 > 系统设定 > 管理设定下把https端口改为非443端口，然后再引用证书）
图9 配置https端口
(1) 验证审计日志里的搜索引擎日志。
如图11所示，进入“数据中心>日志中心>审计日志>搜索引擎日志”查看，发现已经审计到用户访问百度的搜索引擎内容，并正确地记录了日志。
(2) 验证审计日志里的邮箱日志。
如图12所示，进入“数据中心>日志中心>审计日志>邮件日志”，可以看到办公网段已经被正确记录了所有SSL邮箱日志。
(3) 验证审计日志里的网站访问日志。
如图13所示，进入“数据中心>日志中心>审计日志>访问网站日志”查看，发现已经审计到用户访问百度的访问网站内容，并正确地记录了日志。
(1) 下载证书【https.cer】到PC。
(2) 双击打开证书【https.cer】，选择安装证书。
(3) 选择证书存储位置【二者皆可】
(4) 选择【将所有证书放入下列存储】
(5) 点击【浏览】选择【受信任的根证书颁发机构】然后【下一步】
(6) 确认信息点击【完成】
(1) 打开Firefox浏览器，选择【选项】
(2) 选择【高级】——【证书】——【查看证书】
(3) 进入【证书机构】——选择【导入】
(4) 选择【https.cer】点击【打开】
(5) 【全部勾选三个信任提示】——【确定】
(6) 确认导入的证书点击【确定】
注：浏览器导入证书需要清除缓存以后重新打开浏览器！
(1) 将证书放置http网站。
(2) 点击下载证书
(3) 下载成功后，选择“打开”证书。
(4) 证书安装器会弹出“为证书命名”，并且凭据用途要先选择“WLAN”。
(5) 凭据用途选择“VPN和应用”再安装一次。
(6) 进入手机“安全与隐私”，选择“受信任的凭据”中“用户”查看证书是否安装成功。
(7) 如果未成功，选择在“安全与隐私”中“从SD卡安装证书”，找到证书路径，重复上述步骤安装证书。
(1) 将证书放置http网站。
(2) 点击下载证书
(3) 选择“允许”后，iphone会直接跳转到安装界面。
(4) 选择“安装”
对于有些设置了密码的手机，当点击安装后，会跳出以下输入密码的界面，输入自身手机的开机密码即可：
(5) 安装后描述文件显示“已验证”。
(6) 进入“通用”—“关于本机”—“证书信任设置”
(7) 在证书勾选信任。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
