Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Barracuda Web Application Firewall

Kopiera länk till sidan “Barracuda Web Application Firewall”

← Alla integrationer

Webbserver · Brandvägg och VPN · Lastbalanserare

Installerar och förnyar certifikatet på en HTTPS-tjänst eller en SNI-domän i Barracuda WAF med TLS-kontroll och automatisk rollback.

Appliancen kör paketet och ansluter till Barracuda Web Application Firewall genom Barracuda WAF REST API v3.2 över HTTPS på port 8443. Ingen agent installeras på Barracuda Web Application Firewall.

Så går det till

  1. Appliancen ansluter till Barracuda Web Application Firewall genom Barracuda WAF REST API v3.2 på port 8443.
  2. Innan något ändras hämtar paketet certifikatet som målet visar över TLS med rätt servernamn (SNI) och kontrollerar på SHA-256-fingeravtrycket att det är certifikatet som WAF:en har bundit till målet; det bundna objektets certifikat hämtas med WAF:ens dokumenterade nedladdning. Kan det inte avgöras entydigt, eller svarar tjänsten inte, ändras inget, och resultatet har en logg som kan delas.
  3. Certifikat, nyckel och kedja laddas upp som ett nytt certifikatobjekt med namnet sslbrain- och 12 tecken av fingeravtrycket, utan export av den privata nyckeln. Paketet sätter det bara på målets plats i tjänstens SSL Security (RSA eller ECDSA efter certifikatets nyckel) och läser tillbaka inställningarna. Andra tjänster, SNI-domäner och inställningar ändras inte. Om det misslyckas: Visar tillbakaläsningen något annat än den enda ändringen skickas den avsedda inställningen en gång till. Läses den inte heller rätt tillbaka skrivs de tidigare inställningarna tillbaka, läses tillbaka, och det tidigare certifikatet kontrolleras.
  4. Kontroll: paketet gör TLS-handskakningar mot tjänstens adress och port med samma servernamn tills tjänsten visar det nya certifikatet. Om det misslyckas: Visar tjänsten inte det nya certifikatet inom väntetiden sätter paketet tillbaka den tidigare bindningen i samma körning, läser tillbaka den och kontrollerar att det tidigare certifikatet visas igen. Har tjänsten både ett RSA- och ett ECDSA-certifikat och kan kontrollen bara förhandla fram det andra, oförändrade certifikatet, rapporteras det som en varning utan rollback.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över HTTPS till Barracuda WAF REST API v3.2, port 8443. Ingen agent installeras.
Tjänstens portar
8443
Ni behöver
Användarnamn och lösenord för en WAF-administratör som får läsa tjänster och certifikat och skriva certifikat och tjänstens SSL Security. Lösenordet skickas bara i inloggningsförfrågan och sessionens token bara i Authorization-headern, aldrig i en URL eller på en kommandorad. Discovery visar alla HTTPS-tjänster och SNI-domäner, så regeln väljer en av dem.
Plattform
Barracuda Web Application Firewall (hårdvara och virtuell) med REST API v3.2, som paketet känner av vid inloggning. Barracuda dokumenterar v3.2 för firmware 11.0.0, 12.0.0, 12.1.0 och 12.2.0; andra versioner är inte dokumenterade och känns av vid inloggning
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
barracuda-waf-api 1.0.0
Observera
  • WAF:en kan själv förnya Let's Encrypt-certifikat, och Barracuda dokumenterar att förnyelsen uppdaterar SNI-bindningar, men inte vilka. Väljer ni ett mål som använder ett sådant certifikat tar sslbrain över målet: var målet certifikatets enda bindning stänger paketet av certifikatets automatiska förnyelse efter det kontrollerade bytet, så att förnyelsen inte kan binda målet igen; rollback slår på den igen. Använder andra tjänster eller domäner certifikatet förblir förnyelsen på för dem, och resultatet nämner dem. Let's Encrypt-certifikatet tas aldrig bort. Discovery visar vilka bindningar varje certifikat har och vad deploy gör.
  • Paketet tar aldrig bort något. Får paketet inget svar på en ändring läser det WAF:en innan det gör mer och skickar aldrig samma ändring två gånger. Har någon annan ändrat tjänstens SSL Security under uppladdningen byter paketet inte.
  • Rollback sätter tillbaka det tidigare certifikatet på målets plats, bara medan platsen fortfarande har certifikatet som deploy satte. Annars ändras inget.
  • Barracuda dokumenterar REST API v3.2 för firmware 11.0.0, 12.0.0, 12.1.0 och 12.2.0. Svarar en WAF inte på v3.2 rapporterar paketet det och ändrar inget. Firmware 11.0 rättade fel som ändrade SNI- och protokollinställningar när SNI-certifikat sattes via API:et.
  • Anslutningen till WAF:ens REST API verifieras som standard mot systemets trust store, ett CA-bundle eller ett fingeravtryck i MANAGEMENT_TLS_PIN_SHA256. När appliancen når tjänsten genom NAT anges adress, port och servernamn för kontrollen i BARRACUDA_SERVICE_HOST, BARRACUDA_SERVICE_PORT och BARRACUDA_SERVICE_SNI.
  • I ett HA-par ändrar paketet den enhet det ansluter till. Barracuda dokumenterar konfigurationssynkronisering mellan partnerna; paketet läser inte partnern.
  • Barracuda CloudGen Firewall och WAF-as-a-Service är andra produkter med egna API:er.

Krav på certifikatet

Nyckel: RSA eller ECDSA. Barracuda dokumenterar ingen gräns för nyckelstorlek vid uppladdning och inget maximum; WAF:en skapar själv RSA 1024, 2048 och 4096 bitar och ECDSA P-256, P-384 och P-521. sslbrain beställer för den här integrationen RSA 2048 eller 4096 bitar eller ECDSA P-256 eller P-384, de dokumenterade storlekarna; RSA 3072 och ett maximum är inte dokumenterade. Ett RSA-certifikat hamnar på tjänstens RSA-plats och ett ECDSA-certifikat på ECDSA-platsen.

Common Name, clientAuth EKU och keyEncipherment KU: Barracuda dokumenterar inte att något av dem krävs. Uppladdningen tar inget CN, och paketet kräver inget av dem, så certifikat från profiler utan CN, som Let's Encrypt tlsserver och Google minimal, levereras som andra.

Namn: wildcard- och SAN-certifikat är dokumenterade för HTTPS-tjänster och SNI. IP-adresser som namn och ett maximalt antal SAN-namn vid uppladdning är inte dokumenterade; gränsen på 99 SAN-namn gäller WAF:ens egen Let's Encrypt-beställning.

Format och kedja: WAF:en tar PEM-certifikat med separat nyckel eller PKCS#12; DER och JKS är inte dokumenterade. Paketet laddar upp PEM med en okrypterad nyckel, så PKCS#12-kryptering (3DES/RC2 eller AES), som Barracuda inte dokumenterar, har ingen betydelse här. Kedjan laddas upp med servercertifikatet först och därefter varje utfärdare i ordning, som Barracudas guide beskriver; paketet sorterar själv kedjan och skickar med en medföljande root.

Namn på certifikatobjektet: REST API v3.2 publicerar ingen längd eller teckenregel; paketet använder sslbrain- och 12 hextecken (21 tecken). Livslängd: Barracuda dokumenterar ingen minsta eller största livslängd. Från firmware 12.2 stöds inte certifikat signerade med MD5 eller SHA-1.

Kom igång