Gå til indhold
Dokumentation sslbrain sslbrain.com

Barracuda Web Application Firewall

Kopiér link til siden “Barracuda Web Application Firewall”

← Alle integrationer

Webserver · Firewall og VPN · Load balancer

Installerer og fornyer certifikatet på en HTTPS-service eller ét SNI-domæne i Barracuda WAF med TLS-kontrol og automatisk rollback.

Appliancen kører pakken og forbinder til Barracuda Web Application Firewall gennem Barracuda WAF REST API v3.2 over HTTPS på port 8443. Der installeres ingen agent på Barracuda Web Application Firewall.

Sådan forløber det

  1. Appliancen forbinder til Barracuda Web Application Firewall gennem Barracuda WAF REST API v3.2 på port 8443.
  2. Før noget ændres, henter pakken det certifikat, målet viser over TLS med det rigtige servernavn (SNI), og kontrollerer på SHA-256-fingeraftrykket, at det er det certifikat, WAF'en har bundet til målet; det bundne objekts certifikat hentes med WAF'ens dokumenterede download. Kan det ikke afgøres entydigt, eller svarer servicen ikke, ændres intet, og resultatet har en log, der kan deles.
  3. Certifikat, nøgle og kæde uploades som et nyt certifikatobjekt med navnet sslbrain- og 12 tegn af fingeraftrykket, uden eksport af den private nøgle. Pakken sætter det kun på målets plads i servicens SSL Security (RSA eller ECDSA efter certifikatets nøgle) og læser indstillingerne tilbage. Andre services, SNI-domæner og indstillinger ændres ikke. Hvis det fejler: Viser tilbagelæsningen andet end den ene ændring, sendes den tilsigtede indstilling én gang til. Læses den heller ikke rigtigt tilbage, skrives de forrige indstillinger tilbage, læses tilbage, og det forrige certifikat kontrolleres.
  4. Kontrol: pakken laver TLS-handshakes mod servicens adresse og port med samme servernavn, til servicen viser det nye certifikat. Hvis det fejler: Viser servicen ikke det nye certifikat inden for ventetiden, sætter pakken den forrige binding tilbage i samme kørsel, læser den tilbage og kontrollerer, at det forrige certifikat vises igen. Har servicen både et RSA- og et ECDSA-certifikat, og kan kontrollen kun forhandle det andet, uændrede certifikat, meldes det som en advarsel uden rollback.

Tekniske detaljer

Forbindelse
Pakken kører på appliancen, som forbinder over HTTPS til Barracuda WAF REST API v3.2, port 8443. Der installeres ingen agent.
Tjenestens porte
8443
I skal bruge
Brugernavn og adgangskode til en WAF-administrator, der må læse services og certifikater og skrive certifikater og servicens SSL Security. Adgangskoden sendes kun i login-forespørgslen og sessionens token kun i Authorization-headeren, aldrig i en URL eller på en kommandolinje. Discovery viser alle HTTPS-services og SNI-domæner, så reglen vælger ét af dem.
Platform
Barracuda Web Application Firewall (hardware og virtuel) med REST API v3.2, som pakken registrerer ved login. Barracuda dokumenterer v3.2 for firmware 11.0.0, 12.0.0, 12.1.0 og 12.2.0; andre versioner er ikke dokumenteret og registreres ved login
Handlinger
Discovery, Installation, Kontrol, Rollback
Pakker
barracuda-waf-api 1.0.0
Bemærk
  • WAF'en kan selv forny Let's Encrypt-certifikater, og Barracuda dokumenterer, at fornyelsen opdaterer SNI-bindinger, men ikke hvilke. Vælger I et mål, der bruger sådan et certifikat, overtager sslbrain målet: var målet certifikatets eneste binding, slår pakken certifikatets automatiske fornyelse fra efter det kontrollerede skift, så fornyelsen ikke kan binde målet igen; rollback slår den til igen. Bruger andre services eller domæner certifikatet, forbliver fornyelsen slået til for dem, og resultatet nævner dem. Let's Encrypt-certifikatet slettes aldrig. Discovery viser, hvilke bindinger hvert certifikat har, og hvad deploy gør.
  • Pakken sletter aldrig noget. Får pakken ikke svar på en ændring, læser den WAF'en, før den gør mere, og sender aldrig den samme ændring to gange. Har andre ændret servicens SSL Security under uploaden, skifter pakken ikke.
  • Rollback sætter det forrige certifikat tilbage på målets plads, kun mens pladsen stadig har det certifikat, deploy satte. Ellers ændres intet.
  • Barracuda dokumenterer REST API v3.2 for firmware 11.0.0, 12.0.0, 12.1.0 og 12.2.0. Svarer en WAF ikke på v3.2, melder pakken det og ændrer intet. Firmware 11.0 rettede fejl, der ændrede SNI- og protokolindstillinger, når SNI-certifikater blev sat gennem API'et.
  • Forbindelsen til WAF'ens REST API verificeres som standard mod systemets trust store, et CA-bundle eller et fingeraftryk i MANAGEMENT_TLS_PIN_SHA256. Når appliancen når servicen gennem NAT, angives adresse, port og servernavn til kontrollen i BARRACUDA_SERVICE_HOST, BARRACUDA_SERVICE_PORT og BARRACUDA_SERVICE_SNI.
  • I et HA-par ændrer pakken den enhed, den forbinder til. Barracuda dokumenterer konfigurationssynkronisering mellem partnerne; pakken læser ikke partneren.
  • Barracuda CloudGen Firewall og WAF-as-a-Service er andre produkter med deres egne API'er.

Krav til certifikatet

Nøgle: RSA eller ECDSA. Barracuda dokumenterer ingen grænse for nøglestørrelse ved upload og intet maksimum; WAF'en laver selv RSA 1024, 2048 og 4096 bit og ECDSA P-256, P-384 og P-521. sslbrain bestiller til denne integration RSA 2048 eller 4096 bit eller ECDSA P-256 eller P-384, de dokumenterede størrelser; RSA 3072 og et maksimum er ikke dokumenteret. Et RSA-certifikat kommer på servicens RSA-plads og et ECDSA-certifikat på ECDSA-pladsen.

Common Name, clientAuth EKU og keyEncipherment KU: Barracuda dokumenterer ikke, at nogen af dem kræves. Uploaden tager intet CN, og pakken kræver ingen af dem, så certifikater fra profiler uden CN, som Let's Encrypt tlsserver og Google minimal, leveres som andre.

Navne: wildcard- og SAN-certifikater er dokumenteret for HTTPS-services og SNI. IP-adresser som navn og et maksimalt antal SAN-navne ved upload er ikke dokumenteret; grænsen på 99 SAN-navne gælder WAF'ens egen Let's Encrypt-bestilling.

Format og kæde: WAF'en tager PEM-certifikat med separat nøgle eller PKCS#12; DER og JKS er ikke dokumenteret. Pakken uploader PEM med en ukrypteret nøgle, så PKCS#12-kryptering (3DES/RC2 eller AES), som Barracuda ikke dokumenterer, har ingen betydning her. Kæden uploades med servercertifikatet først og derefter hver udsteder i rækkefølge, som Barracudas vejledning beskriver; pakken sorterer selv kæden og sender en medleveret root med.

Navn på certifikatobjektet: REST API v3.2 offentliggør ingen længde eller tegnregel; pakken bruger sslbrain- og 12 hextegn (21 tegn). Levetid: Barracuda dokumenterer ingen minimums- eller maksimumslevetid. Fra firmware 12.2 understøttes certifikater signeret med MD5 eller SHA-1 ikke.

Kom i gang