Cloud Firewall:Inspeksi TLS

Risiko keamanan pada lalu lintas terenkripsi

Risiko 1: Serangan canggih dan pelanggaran data tidak terdeteksi oleh IPS
Penyerang menggunakan saluran data HTTPS untuk mengirimkan muatan berbahaya, mengekstraksi data, atau berkomunikasi dengan server C2. Lalu lintas terenkripsi mencegah mesin IPS mengidentifikasi tanda serangan atau kebocoran data. TLS inspection mengekspos lalu lintas teks biasa, memungkinkan IPS mendeteksi dan memblokir ancaman tersebut.

Risiko 2: Web filtering tidak dapat menerapkan kontrol tingkat path pada lalu lintas HTTPS
Web filtering mencocokkan hostname dan path dalam permintaan HTTP (misalnya example.com/upload/*). Tanpa dekripsi, firewall hanya dapat membaca domain dari SNI dan tidak dapat mengekstrak path URL, sehingga kebijakan detail halus seperti “izinkan browsing tetapi tolak upload” gagal berjalan. TLS inspection memungkinkan pencocokan path penuh pada lalu lintas HTTPS.

Risiko 3: Akurasi identifikasi aplikasi menurun di bawah enkripsi, membatasi granularitas kontrol
Application control menggunakan deep packet inspection (DPI) untuk mengidentifikasi aplikasi dari data muatan. Tanpa dekripsi, DPI hanya mengandalkan informasi handshake seperti SNI dan sertifikat, sehingga tidak mampu membedakan perilaku dalam domain yang sama (misalnya, “menjelajahi GitHub” versus “mengupload ke GitHub”). TLS inspection memberikan visibilitas penuh atas lalu lintas untuk identifikasi perilaku yang akurat.

Langkah 1: Konfigurasikan kebijakan inspeksi TLS

Pada halaman TLS Inspection, klik Create TLS Inspection Policy di atas daftar kebijakan. Panel Create TLS Inspection Policy muncul di sebelah kanan.

1. Associate Certificate.

   Parameter	Deskripsi
   Policy Name	Masukkan nama deskriptif untuk kebijakan.
   Associate TLS Certificate	Pilih sertifikat yang sudah ada. Catatan Saat membuat kebijakan pertama kali, dropdown sertifikat menyertakan opsi Apply for a Trial Certificate. Klik opsi ini untuk menghasilkan sertifikat uji guna mengevaluasi TLS inspection. Sertifikat uji hanya dapat digunakan sekali. Untuk lingkungan produksi, beli dan gunakan sertifikat Anda sendiri. Saat ini, hanya sertifikat PCA yang didukung. Sertifikat harus memenuhi persyaratan berikut:  Tujuan sertifikat harus diatur sebagai "Internal enterprise use". Sertifikat algoritma kriptografi Tiongkok tidak didukung. Jika Anda menggunakan algoritma kunci privat RSA, panjang kunci minimal 2048 bit. Jika Anda menggunakan algoritma kunci privat ECC, pilih P-256. Jika tidak tersedia sertifikat, klik Buy Certificate untuk menuju konsol Layanan Manajemen Sertifikat. Saat membeli sertifikat, pastikan tujuan sertifikat PCA diatur sebagai "Internal enterprise use". Apa itu sertifikat PCA?.
   Certificate Validity	Menampilkan periode validitas sertifikat setelah dipilih. Peringatan muncul ketika masa berlaku tersisa kurang dari satu tahun. Pastikan sertifikat memiliki masa berlaku minimal satu tahun.
   Description	Masukkan deskripsi untuk kebijakan.

   Setelah mengonfigurasi parameter, klik Next untuk melanjutkan ke langkah Configure Inspection Range. Kebijakan dibuat dan disimpan saat Anda melanjutkan ke langkah berikutnya.

2. Configure Inspection Range.

   Penting

   • Kuota total untuk semua rentang inspeksi adalah 20.000.

   • Kuota yang dikonsumsi oleh satu kebijakan inspeksi TLS adalah jumlah kuota dari semua rentang inspeksinya.

   • Satu rentang inspeksi mengonsumsi kuota yang dihitung sebagai: jumlah alamat IP sumber × jumlah rentang port sumber × jumlah alamat IP tujuan × jumlah rentang port tujuan.

   Parameter	Deskripsi
   Protocol Type	Saat ini, hanya protokol TCP yang didukung.
   Source IP Address	Pilih alamat IP host untuk inspeksi lalu lintas arah keluar. Maksimal: 1.000 alamat. Catatan Jenis aset yang didukung: ECS EIP, ECS public IP, NAT EIP, EIP, dan ENI EIP.
   Source Port	Tentukan port dalam format port awal/port akhir. Rentang valid: 0-65535. Pisahkan beberapa rentang dengan koma. Maksimal: 100 rentang. Catatan Semua port menggunakan format rentang, bahkan untuk satu port saja. Misalnya, 8080/8080 hanya memeriksa port 8080. Untuk memeriksa semua port, gunakan 0/65535.
   Destination IP Address	Alamat IP tujuan yang diakses oleh host sumber. Catatan Anda harus menggunakan alamat IPv4 atau rentang alamat dalam Notasi CIDR. Contoh: 192.0.2.0/24,8.8.8.8/32. Anda dapat memasukkan hingga 100 objek alamat IP. Pisahkan beberapa objek dengan koma (,). Untuk merepresentasikan semua alamat, gunakan 0.0.0.0/0.
   Destination Port	Port layanan tujuan. Format: port awal/port akhir. Rentang valid: 0-65535. Pisahkan beberapa rentang dengan koma. Maksimal: 100 rentang.
   Description	Masukkan deskripsi untuk rentang inspeksi.
   Operasi lainnya	Save: Klik Save di bawah bagian Inspection Scope untuk menyimpan rentang inspeksi tanpa mengklik Next. Setelah ruang lingkup disimpan, Saved muncul di pojok kanan atas bagian tersebut. Add: Klik Add an inspection range untuk menambahkan rentang inspeksi lain. Satu kebijakan mendukung hingga 10 rentang inspeksi. Delete: Klik ikon di pojok kanan atas bagian Inspection Scope untuk menghapus rentang inspeksi saat ini. Setelah konfirmasi penghapusan, rentang langsung dihapus tanpa perlu mengklik Next. Gunakan opsi ini dengan hati-hati.

   Setelah mengonfigurasi parameter, klik Next untuk menyelesaikan konfigurasi kebijakan.

3. Tinjau informasi kebijakan.

   Setelah kebijakan dikonfigurasi, detail kebijakan dan rentang inspeksinya ditampilkan. Policy ID disertakan dalam log.

Langkah 2: Instal sertifikat TLS

Instal sertifikat yang diasosiasikan pada semua host dalam ruang lingkup inspeksi.

1. Unduh sertifikat.

   

   Pada daftar Configure TLS Inspection Policy, temukan kebijakan yang telah Anda buat dan klik Download Certificate di kolom Actions sebelah kanan. Sertifikat diunduh ke mesin lokal Anda. Ekstrak paket untuk mendapatkan file sertifikat (.crt).

2. Masuk ke host IP sumber.

   Masuk ke host yang Anda tentukan sebagai Source IP Address saat membuat Inspection Scope. Unggah sertifikat ke direktori apa pun di host tersebut. Metode transfer file.

3. Instal sertifikat.

   Salin file sertifikat ke trust store sistem operasi dan jalankan perintah pembaruan. Langkah-langkahnya berbeda tergantung sistem operasi.

   Catatan

   • Jika kebijakan TLS Anda menggunakan sertifikat CA subordinat, Anda harus menginstal CA root dan CA subordinat.

   • Contoh berikut berlaku untuk skenario di mana trust store adalah trust store sistem. Jika aplikasi Anda menggunakan trust store berbeda, instal sertifikat di trust store yang benar.

   CentOS/Alibaba Cloud Linux/Anolis/Red Hat

   1. Salin file sertifikat: cp <certificate_file_name> /etc/pki/ca-trust/source/anchors/

   2. Perbarui sertifikat: sudo update-ca-trust

   3. Lihat sertifikat yang diperbarui: cat /etc/ssl/certs/ca-bundle.crt

      Jika output menampilkan konten sertifikat, instalasi berhasil.

      

   Ubuntu

   1. Salin file sertifikat: cp <certificate_file_name> /usr/local/share/ca-certificates/

   2. Perbarui sertifikat: sudo update-ca-certificates

   3. Lihat sertifikat yang diperbarui:cat /etc/ssl/certs/ca-certificates.crt

      Jika output menampilkan konten sertifikat, instalasi berhasil.

      

   Windows

   Penting

   • Jika Anda menggunakan sertifikat yang merujuk CA subordinat (CA perantara), Certificate Manager bawaan Windows tidak menginstal semua CA dalam satu file rantai sertifikat sekaligus. Hanya CA pertama dalam file yang diinstal. Dalam skenario ini, Anda harus memisahkan setiap blok konten CA ke file terpisah lalu menginstal masing-masing file.

   • Pisahkan sertifikat dengan membuka file sertifikat yang telah diunduh dan diekstrak di editor teks, potong blok konten dari -----BEGIN CERTIFICATE----- hingga -----END CERTIFICATE-----, lalu simpan sebagai file baru dengan ekstensi .crt.

     

     Setelah dipisah:

   1. Instal sertifikat: Klik kanan file sertifikat dan klik Install Certificate. Lalu, ikuti langkah-langkah berikut:

      1	2	3

      Klik Next untuk menyelesaikan impor sertifikat.

   2. Lihat sertifikat yang diimpor: Masukkan certmgr.msc di Command Prompt untuk membuka Certificate Manager.

      

   SUSE

   1. Salin file sertifikat: cp <certificate_file_name> /etc/pki/trust/anchors

   2. Perbarui sertifikat: sudo c_rehash .

   3. Lihat sertifikat yang diperbarui: sudo trust list --filter=ca-anchors |grep -C 2 <Certificate CN>

      Jika informasi sertifikat ditampilkan, sertifikat berhasil diinstal.

      

   Fedora dan Fedora CoreOS

   1. Salin file sertifikat: sudo cp <certificate-file-name> /etc/pki/ca-trust/source/anchors/

   2. Perbarui sertifikat: sudo update-ca-trust extract

   3. Lihat sertifikat yang diperbarui: sudo trust list --filter=ca-anchors |grep -C 2 <certificate_CN>

      Jika informasi sertifikat ditampilkan, sertifikat berhasil diinstal.

      

   Layanan Kontainer (ACK)

   Saat lalu lintas arah keluar berasal dari pod dalam kluster ACK, instal sertifikat PCA di dalam setiap pod karena lingkungan kontainer terisolasi dari host. Jika node juga melakukan permintaan HTTPS (misalnya menarik image dari repositori publik), instal sertifikat pada node tersebut juga.

   Catatan

   • Langkah-langkah berikut berlaku untuk Alibaba Cloud Linux 3.2104 LTS 64-bit (container-optimized) dan hanya sebagai referensi. Sesuaikan perintah berdasarkan sistem operasi dan kebutuhan bisnis Anda.

   • Beberapa perintah berikut akan merestart sumber daya. Untuk menghindari gangguan bisnis, kami sarankan melakukan operasi ini selama jam sepi.

   Instal sertifikat pada node

   Masuk ke setiap node dan jalankan perintah berikut.

   1. Salin file sertifikat: cp <certificate_file_name> /etc/pki/ca-trust/source/anchors/

   2. Perbarui sertifikat: sudo update-ca-trust

   3. Lihat sertifikat yang diperbarui:cat /etc/ssl/certs/ca-bundle.crt

      Jika konten sertifikat ditampilkan, sertifikat berhasil diinstal.

   4. Restart layanan kontainer agar perubahan berlaku: sudo systemctl restart containerd.

   Instal sertifikat di dalam pod

   1. Buat Secret di konsol kluster target. Berikut contoh konfigurasinya. Nilai key adalah konten file sertifikat. Untuk detail cara membuat Secret, lihat Manage Secrets.Atau, Anda dapat menjalankan perintah kubectl berikut untuk membuat Secret, yang memiliki efek yang sama. Ganti ca_chain.crt dalam perintah dengan nama file sertifikat aktual.

      kubectl create secret generic cfw-pca-cert \
        --from-file=ca_chain.crt=./ca_chain.crt \
        -n default

   2. Untuk contoh Deployment, tambahkan konten berikut ke file YAML-nya:

      1. Arahkan ke bidang spec.template.spec.containers dan tambahkan konten berikut untuk memasang sertifikat dan memperbarui truststore. Dalam konten tersebut, secretName adalah nama Secret yang Anda buat pada langkah sebelumnya, misalnya cfw-pca-cert.

         volumes:
                 - name: custom-ca-volume
                   secret:
                     secretName: cfw-pca-cert   
         volumeMounts:
                 - name: custom-ca-volume
                   mountPath: /etc/ssl/custom
                   readOnly: true  

      2. Lanjutkan dengan menambahkan perintah startup di bawah bidang spec.template.spec.containers.

         Catatan

         Contoh berikut berbasis sistem kontainer CentOS dan hanya sebagai referensi. Sesuaikan perintah berdasarkan sistem operasi dan kebutuhan bisnis Anda.

         command:
                   - "/bin/sh"
                   - "-c"
                   - |
                     # 1. Install curl.
                     echo "Installing curl......"
                     yum install -y curl
         
                     # 2. Verifikasi bahwa sertifikat telah dimount. Ganti ca_chain.crt dengan nama file sertifikat aktual.
                     if [ ! -f /etc/ssl/custom/ca_chain.crt ]; then
                       echo "ERROR: Certificate file not found!"
                       exit 1
                     fi
         
                     # 3. Inject sertifikat berdasarkan langkah untuk CentOS.
                     echo "Copying certificate to anchors directory..."
                     cp /etc/ssl/custom/ca_chain.crt /etc/pki/ca-trust/source/anchors/
         
                     echo "Updating CA trust store..."
                     update-ca-trust        
         
                     # 4. Pertahankan pod tetap berjalan.
                     echo "Pod ready for manual testing. Use 'kubectl exec' to test further."
                     sleep infinity

Langkah 3: Aktifkan inspeksi dan kueri log lalu lintas

1. Setelah menginstal sertifikat pada semua host, aktifkan kebijakan.

   Penting

   Saat Anda mengaktifkan TLS inspection, perlindungan untuk koneksi baru berlaku dalam waktu sekitar satu menit. Koneksi persisten yang sudah ada tidak terpengaruh dan tidak akan dilindungi.

   Untuk EIP yang sudah dilindungi dan memiliki TLS inspection diaktifkan, menonaktifkan TLS inspection akan mengganggu koneksi persisten. Durasi gangguan tergantung pada waktu rekoneksi aplikasi Anda.

   

   Halaman TLS Inspection menampilkan semua kebijakan. Alihkan sakelar status untuk mengaktifkan kebijakan. Setelah diaktifkan, Cloud Firewall memeriksa lalu lintas arah keluar terenkripsi sesuai konfigurasi Anda.

   Catatan

   Anda hanya dapat menghapus kebijakan saat statusnya dinonaktifkan.

2. Kueri log lalu lintas.

   Setelah host yang diperiksa menghasilkan lalu lintas, di panel navigasi kiri Konsol Cloud Firewall, pilih Detection & Response > Log Audit.

   Di Traffic Logs > Internet Firewall tab, kueri lalu lintas yang dihasilkan oleh host, termasuk kebijakan inspeksi TLS dan rentang inspeksi yang cocok.

   Log menampilkan ID kebijakan dan rentang inspeksi.