Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Barracuda CloudGen Firewall

Kopiera länk till sidan “Barracuda CloudGen Firewall”

← Alla integrationer

Brandvägg och VPN beta

Sätter VPN-tjänstens standardcertifikat i CloudGen och hittar certifikat i brandväggens och Control Centers arkiv.

Appliancen kör paketet och ansluter till Barracuda CloudGen Firewall genom CloudGen Firewall REST API över HTTPS på port 8443. Ingen agent installeras på Barracuda CloudGen Firewall.

Så går det till

  1. Appliancen ansluter till Barracuda CloudGen Firewall genom CloudGen Firewall REST API på port 8443.
  2. Discovery läser certifikatarkivet (från 10.0; på 9.x den äldre certifikatlistan), på ett Control Center även det globala arkivet och range- och cluster-arkiven, och listar tjänsterna med namn och modul så att regeln kan ange VPN-tjänsten. Ett 9.x Control Center har ingen certifikatlista för range och cluster i REST API; de rapporteras som inte lästa.
  3. Installation: paketet kontrollerar att nyckeln hör till certifikatet, öppnar en konfigurationssession, läser VPN-tjänstens inställningar, skriver certifikat, privat och offentlig nyckel med tjänstens övriga nycklar oförändrade, läser tillbaka sessionen och gör commit. Ett Control Center skickar sedan konfigurationen till boxen och väntar tills boxen rapporterar uppdateringen som genomförd. Om det misslyckas: Om ett steg före commit misslyckas rullas sessionen tillbaka och inget ändras. Besvaras inte commit avgör en ny läsning av inställningarna om certifikatet byttes. Misslyckas något efter commit rapporterar paketet det som en ändring som kräver uppföljning, aldrig som oförändrat. Slutar Control Centers uppdatering med fel, eller går den inte att bekräfta, har Control Center det nya certifikatet medan det inte går att läsa vilket boxen använder; nästa försök skickar konfigurationen igen utan att skriva den på nytt.
  4. Efteråt läser paketet VPN-tjänstens tillstånd. Tjänsten startas om bara när regeln begär det, och bara på en fristående brandvägg; en omstart avbryter alla tjänstens VPN-tunnlar och anslutningar. Om det misslyckas: På en fristående brandvägg: var tjänsten igång före bytet och är nere efter, och har inställningarna fortfarande paketets certifikat, skriver paketet tillbaka det certifikat och den nyckel det läste i samma körning och rapporterar fel. En ändring som någon annan har gjort sedan dess skrivs inte över. Control Centers REST API dokumenterar inget tillstånd för en tjänst på en hanterad box, så där skriver paketet inget tillbaka.
  5. Kontroll: paketet hittar certifikatet i arkivet på dess SHA-256-fingeravtryck, eventuellt under ett visst namn, och rapporterar saknade kedjecertifikat och en äldre post med samma namn. Om ett arkiv eller en post inte gick att läsa helt rapporterar kontrollen att den inte kunde avgöra saken, inte att certifikatet saknas. Anger regeln VPN-tjänsten jämför kontrollen i stället certifikatet i tjänstens committade konfiguration, samma som installationen skriver.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över HTTPS till CloudGen Firewall REST API, port 8443. Ingen agent installeras.
Tjänstens portar
8443
Ni behöver
REST API måste vara aktiverat (HTTPS, port 8443). Använd en administratör med REST-åtkomst, med användarnamn och lösenord eller en REST API-token. För att hitta och kontrollera certifikat räcker läsrätt, t.ex. en kopierad observer-roll med REST-åtkomst; installation kräver rollen Manager för VPN-tjänstens konfiguration. Regeln anger VPN-tjänsten så som Firewall Admin visar den, och på ett Control Center även range, cluster och box.
Plattform
CloudGen Firewall och CloudGen Control Center 9.0 och senare med REST API; certifikatarkivet från 10.0
Åtgärder
Discovery, Installation, Kontroll; ingen rollback-åtgärd
Paket
barracuda-cloudgen-api 1.0.0
Observera
  • Barracuda dokumenterar ingen REST-läsning av det certifikat som en körande VPN-tjänst använder, och IPsec/TINA kan inte kontrolleras med en TLS-handskakning. Paketet bekräftar därför konfigurationen (commit gjord och tillbakaläst när inställningarna går att läsa; på ett Control Center skickad till boxen) och, på en fristående brandvägg, tjänstens tillstånd, och rapporterar installationen som genomförd med en varning.
  • VPN-tjänstens CA-kedja anges i Firewall Admin (VPN Settings, Certificate Chain) och har inget fält i REST API; paketet lämnar den som den är. Har det nya certifikatet en annan utfärdare än det tidigare installeras det, och resultatet varnar: klienter som validerar kedjan behöver den nya utfärdarens certifikat i Certificate Chain.
  • Den tidigare nyckeln på brandväggen ersätts; paketet håller det tidigare certifikatet och den tidigare nyckeln bara under körningen, så att det kan skriva tillbaka dem. En avbruten körning lämnar en journal på appliancen med fingeravtryck, aldrig nycklar, och nästa installation läser först vad brandväggen har och rapporterar det innan den skriver.
  • Version 1.0.0 installerar bara VPN-tjänstens standardservercertifikat. Certifikat för SSL VPN, REST API:ets egen HTTPS-port, administrationen (Firewall Admin) och namngivna VPN-tjänstcertifikat ingår inte i den här versionen och väljs fortfarande i Firewall Admin.
  • Vilken tjänst som använder ett certifikat i arkivet går inte att läsa genom REST API. Kontrollen rapporterar om REST API-porten själv visar certifikatet; VPN, SSL VPN och andra tjänster lyssnar på portar som paketet inte ansluter till.
  • Discovery och kontroll skickar bara läsförfrågningar; installation skriver bara den namngivna VPN-tjänstens inställningar. REST API-certifikatet kontrolleras som standard; ett självsignerat certifikat på en IP-adress kan godkännas med sitt SHA-256-fingeravtryck.
  • En HA-partner får konfigurationen genom brandväggens egen HA-synkronisering; paketet läser inte partnern.
  • Barracuda Web Application Firewall är en annan produkt med eget API och har en egen integration.

Kom igång