SSL/TLS インスペクションの設定

SSL/TLS インスペクション設定では、デフォルト設定を指定して、セキュアなプロトコルのバージョンと発生を適用できます。

Sophos Firewall がセキュアなトラフィックをインターセプト、復号化、および検査した後に、再署名証明機関が SSL/TLS サーバー証明書に署名するように指定できます。復号化できないトラフィックを破棄または拒否する設定を指定できます。これには、SSL 圧縮やファイアウォールの復号化機能を超える接続など、安全でないプロトコルのバージョンや発生が含まれます。TLS 1.3 を使用しているときに問題が発生した場合は、TLS 1.3 から TLS 1.2 への接続をダウングレードできます。

「ルールとポリシー > SSL/TLS インスペクションルール」に移動し、「SSL/TLS インスペクションの設定」を選択します。

再署名認証局

Sophos Firewall によってインターセプトされる SSL/TLS 接続のための再署名証明機関を指定します。SSL/TLS インスペクションルールに適用されている復号化プロファイルは、このルールに対するこれらのアクションを上書きできます。

証明書の再署名は、エンドポイントデバイスによって信頼されている必要があります。表示されない場合、ブラウザに警告が表示され、接続の完了が拒否される場合があります。

主な証明機関は、証明書に RSA または EC (Elliptic Curve) の暗号化鍵を使用しています。ほとんどの場合、片方の種類の証明書は、もう片方の証明機関によって署名可能なため、両方に同じ CA を使用することができます。両方の証明書に対応しないアプリケーションがあった場合は、EC 鍵を追加して、EC ベースの機関によって署名された証明書に再署名できます。2つ目の CA を追加する場合は、その CA がすべてのエンドポイントデバイスによって信頼されていることを確認してください。

復号化できないトラフィック

復号化しないトラフィックに対するアクション (安全でないプロトコルのバージョンや発生など) を指定します。SSL/TLS インスペクションルールに適用されている復号化プロファイルは、このルールに対するこれらのアクションを上書きできます。

復号化しないトラフィックのアクションを選択します。

• 復号化せずに許可
• 破棄: 送信元に通知せずに破棄します。
• 拒否: トラフィックを破棄して、送信元ホストに接続リセットメッセージを送信します。

TLS 1.3 との互換性

TLS 1.3 復号化

操作を指定します。

• 1.3 で復号化
• TLS 1.2 にダウングレードして復号化: 一部のサーバーおよびクライアントでは、 TLS 1.3 がまだ実装されていません。TLS 1.3 を使用して問題が発生した場合は、このオプションを選択してください。

TLS 1.3 接続に対して以下の処理を実行するには、SSL/TLS インスペクションルールの処理を「復号化」に設定する必要があります。

• SSL/TLS の一般設定で指定されている、TLS の互換性設定「TLS 1.2 にダウングレードして復号化」を適用します。
• 証明書エラーをブロックし、復号化プロファイルで指定された RSA キーの最小サイズを適用します。
• 復号化プロファイルで指定されたブロックアクション「拒否して通知」を適用します。このような復号化プロファイルを、「復号化しない」または「拒否」アクションを指定して SSL/TLS インスペクションルールに適用すると、Sophos Firewall はブロックアクション「拒否」を適用します。

詳細設定

SSL/TLS エンジン: トラブルシューティングを行う場合のみに、エンジンを無効にします。トラブルシューティングが完了したら、再度有効にします。

その他のリソース

• SSL/TLS インスペクションルール

• 復号化のプロファイル

• 証明機関の追加

• SSL CA 証明書のインストールガイド

• SSL/TLS インスペクションルールの追加

• 復号化のプロファイルを追加