Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Dotyczy: ✔️ Front Door Standard ✔️ Front Door Premium
Usługa Azure Front Door obsługuje kompleksowe szyfrowanie TLS. Gdy dodajesz niestandardową domenę do Azure Front Door, musisz użyć HTTPS i zdefiniować politykę TLS. Polityka TLS kontroluje wersję protokołu TLS oraz pakiety szyfrów, których używa Azure Front Door podczas handshake'u TLS. Azure Front Door obsługuje TLS 1.2 i TLS 1.3, a także wzajemne uwierzytelnianie TLS (mTLS). Więcej informacji można znaleźć w artykule Mutual TLS authentication in Azure Front Door.
Azure Front Door Standard i Premium oferują predefiniowane i niestandardowe polityki TLS. Jeśli używasz Azure Front Door (klasycznej) lub Microsoft CDN (wersja klasyczna), nadal używasz minimalnej wersji protokołu TLS 1.2.
Aby kontrolować klasyczne i hybrydowe postkwantowe metody wymiany kluczy dla połączeń klientów, należy osobno skonfigurować politykę wymiany kluczy TLS domeny. Polityka TLS kontroluje wersje protokołów i zestawy szyfrów; polityka wymiany kluczy kontroluje obsługiwane grupy.
Podczas handshake TLS Azure Front Door negocjuje wersję protokołu i pakiet szyfrów z klientem. Dla minimalnej wersji TLS 1.2 najpierw próbuje ustanowić TLS 1.3, a następnie TLS 1.2. Klient musi wspierać co najmniej jeden z obsługiwanych pakietów szyfrów, aby nawiązać połączenie HTTPS z Azure Front Door. Azure Front Door wybiera pakiet szyfrów w podanej kolejności spośród pakietów szyfrów obsługiwanych przez klienta.
Gdy Azure Front Door inicjuje ruch TLS do źródła, stara się wynegocjować najlepszą wersję TLS, którą źródło może niezawodnie i konsekwentnie akceptować. Front Door obsługuje TLS 1.2 i TLS 1.3 dla połączeń z originem.
Note
Klienci muszą wspierać co najmniej jedną grupę w polityce wymiany kluczy TLS domeny. Hybrydowe grupy postkwantowe wymagają TLS 1.3. Jeśli zezwalasz na TLS 1.2, uwzględnij przynajmniej jedną grupę klasyczną w niestandardowej polityce wymiany kluczy. Aby poznać obsługiwane grupy i kwestie kompatybilności, zobacz politykę wymiany kluczy TLS.
Wybierz politykę TLS
Wybierz wstępnie zdefiniowaną politykę dla konfiguracji bezpieczeństwa zarządzanej przez Microsoft lub wybierz politykę niestandardową, gdy potrzebujesz kontroli nad minimalną wersją protokołu TLS, obsługiwanymi pakietami szyfrów oraz kolejnością priorytetów pakietów szyfrów.
Zdefiniowane polityki TLS
Zespół rozwiązania zabezpieczające firmy Microsoft konfiguruje gotowe polityki na podstawie najlepszych praktyk i zaleceń w zakresie bezpieczeństwa. Użyj najnowszej polityki TLS, aby uzyskać najnowszą konfigurację bezpieczeństwa TLS.
Nazwy polityk określają minimalną wersję TLS oraz rok, w którym zostały skonfigurowane. Domyślnie Azure Front Door wybiera TLSv1.2_2023. TLSv1.2_2022 mapuje na minimalną wersję TLS 1.2 z poprzedniego projektu.
Poniższa tabela przedstawia minimalną wersję protokołu oraz zestawy szyfrów dla każdej wstępnie zdefiniowanej polityki. Kolejność pakietów szyfrów określa kolejność priorytetu podczas negocjacji TLS.
| OpenSSL | Zestaw szyfrów | TLSv1.2_2023 | TLSv1.2_2022 |
|---|---|---|---|
| Minimalna wersja protokołu | 1.2 | 1.2 | |
| Obsługiwane protokoły | 1.3/1.2 | 1.3/1.2 | |
| TLS_AES_256_GCM_SHA384 | TLS_AES_256_GCM_SHA384 | Yes | Yes |
| TLS_AES_128_GCM_SHA256 | TLS_AES_128_GCM_SHA256 | Yes | Yes |
| ECDHE-RSA-AES256-GCM-SHA384 | TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | Yes | Yes |
| ECDHE-RSA-AES128-GCM-SHA256 | TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | Yes | Yes |
| ECDHE-RSA-AES256-SHA384 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 | No | Yes |
| ECDHE-RSA-AES128-SHA256 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | No | Yes |
Niestandardowe polityki TLS
Niestandardowa zasada TLS daje kontrolę nad minimalną wersją protokołu TLS, obsługiwanymi zestawami szyfrów oraz kolejnością priorytetów zestawów szyfrów.
Note
TLS 1.3 jest zawsze włączony, niezależnie od wybranej minimalnej wersji TLS.
Azure Front Door obsługuje następujące pakiety szyfrujące dla niestandardowych polityk. Kolejność pakietów szyfrów określa kolejność priorytetu podczas negocjacji TLS.
- TLS_AES_256_GCM_SHA384 (tylko protokół TLS 1.3)
- TLS_AES_128_GCM_SHA256 (tylko protokół TLS 1.3)
- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
- TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
Note
W wersjach Windows 10 i późniejszych włącz jeden lub oba ECDHE_GCM pakiety szyfrów dla lepszego bezpieczeństwa. Windows 8.1, Windows 8 i Windows 7 nie są kompatybilne z tymi ECDHE_GCM zestawami szyfrów. Dostępne są zestawy szyfrów ECDHE_CBC w celu kompatybilności z tymi systemami operacyjnymi.
Wymagania wstępne
- Profil usługi Azure Front Door. Aby uzyskać więcej informacji, zobacz Tworzenie usługi Azure Front Door.
- Domena niestandardowa. Jeśli nie masz domeny, kup domenę od dostawcy domen. Aby uzyskać więcej informacji, zobacz Kupowanie niestandardowej nazwy domeny.
- Jeśli używasz usługi Azure DNS do hostowania swojej domeny, deleguj DNS domeny u rejestratora domeny do usługi Azure DNS. Więcej informacji można znaleźć w temacie Delegowanie domeny do usługi DNS platformy Azure. Jeśli Twój dostawca domeny hostuje Twoją domenę DNS, zobacz Utwórz rekord DNS CNAME.
Konfiguruj politykę TLS
W portalu Azure przejdź do profilu Azure Front Door, który chcesz skonfigurować.
W Ustawieniach wybierz Domeny, a następnie wybierz + Dodaj.
W Dodaj domenę postępuj zgodnie z instrukcjami w Konfiguruj domenę niestandardową w Azure Front Door i Konfiguruj protokół HTTPS w domenie niestandardowej Azure Front Door aby skonfigurować domenę.
W przypadku polityki TLS wybierz wstępnie zdefiniowaną politykę z listy rozwijanej lub wybierz Custom, aby wybrać pakiety szyfrów.
Wybierz Zobacz szczegóły polityki , aby zobaczyć obsługiwane zestawy szyfrów.
Jeśli wybierzesz Custom, możesz wybrać minimalną wersję TLS oraz odpowiadające jej pakiety szyfrów, wybierając Wybierz pakiety szyfrów.
Note
Aby ponownie użyć niestandardowej konfiguracji polityki TLS z innej domeny, wybierz domenę w Użyj ustawienia z innej domeny.
Po skonfigurowaniu polityki TLS wybierz Dodaj, aby dodać domenę.
Sprawdź politykę TLS
Użyj SSL Server Test lub narzędzia sslscan, aby zobaczyć pakiety szyfrów obsługiwane przez Twoją domenę.