Um virtual server do BIG-IP faz algo que um roteador comum não faz: termina uma conexão TLS, olha o conteúdo em claro e abre uma nova conexão TLS para o backend. Dois tipos de perfil distintos governam as duas metades dessa imagem, e eles desempenham papéis opostos.

Client SSL: o BIG-IP é o servidor

Um perfil client-ssl está voltado para o cliente. Com ele anexado, o BIG-IP age como servidor TLS: apresenta um certificado, conclui o handshake que o navegador iniciou e descriptografa o tráfego do cliente. É o perfil que guarda o seu certificado público e a chave privada. Tudo o que o cliente vê do TLS do seu site — o certificado, a versão negociada, a cifra — vem daqui.

Server SSL: o BIG-IP é o cliente

Um perfil server-ssl está voltado para o membro do pool. Com ele anexado, o BIG-IP age como cliente TLS em direção ao backend: abre uma nova conexão TLS para o servidor e, se configurado, valida o certificado do servidor contra uma (autoridade certificadora, do inglês certificate authority) confiável. O backend enxerga o BIG-IP como mais um cliente TLS.

Três formatos comuns

Esses dois perfis se combinam nos padrões que você realmente implanta:

  • SSL offload — apenas um perfil client-ssl. O BIG-IP termina o TLS do cliente e fala texto claro com o pool. Mais simples e rápido, mas a perna do servidor fica sem criptografia, então só é seguro em um segmento interno confiável.
  • SSL bridging (recriptografia) — ambos os perfis, client-ssl e server-ssl. O BIG-IP descriptografa o cliente, pode inspecionar ou modificar o tráfego e então recriptografa para o pool. É o que você precisa quando política ou conformidade exigem criptografia de ponta a ponta sem abrir mão do processamento de camada 7.
  • SSL pass-through — nenhum perfil. O BIG-IP encaminha os bytes criptografados intactos. Sem certificado, sem inspeção, sem recursos de camada 7.

Por que a distinção importa

Um número surpreendente de chamados de TLS se resume a anexar o perfil errado no lado errado, ou esperar que o backend seja validado quando só há um perfil client-ssl. A validação do certificado do servidor backend é assunto de server-ssl (peer-cert-mode mais ca-file); a validação de um certificado de cliente é assunto de client-ssl. Ao ler um perfil, a primeira pergunta a resolver é sempre: qual lado este perfil controla?

Cole qualquer um dos perfis no explicador de perfis SSL e ele dirá o papel dele, as versões de protocolo que permite e o que cada configuração faz.

Esta série, em ordem

Este artigo abre a série Perfis SSL e cifras no BIG-IP. Ele resolve qual profile é o servidor para o cliente e qual é o cliente para o pool; as partes então configuram um profile de fora para dentro: o certificado e a cadeia, as versões que ele oferece, a configuração de cifras lida como gramática, conjunto de regras e ordem, o sigilo e a segurança que decorrem dela, o certificado do cliente, a troca de chaves mais nova e a automação de certificados, e o produto feito para decifrar uma vez e inspecionar muitas.

  1. Certificados, chaves e construção de cadeia num perfil SSL. O certificado, sua chave e o bundle de cadeia que leva o cliente a uma raiz confiável, e um profile servindo vários certificados.
  2. Como habilitar e desabilitar versões do TLS com o campo options. O campo options funciona por subtração: uma versão é oferecida a menos que uma flag no- a remova.
  3. Como ler uma cipher string do F5. Conjuntos separados por dois-pontos, palavras-chave unidas por mais e os operadores que excluem, apagam ou rebaixam.
  4. Cipher rules, cipher groups do F5 e por que a expansão é específica de versão. Regras que guardam strings e grupos que as permitem, restringem e excluem, e por que a expansão depende da versão.
  5. Ordenação e negociação de ciphers no BIG-IP. Com a preferência do servidor, vence a primeira cifra da lista do próprio BIG-IP que o cliente suporta.
  6. As duas gerações de cifras TLS no BIG-IP. Uma geração junta troca de chaves, autenticação e cifra; a mais nova nomeia apenas a cifra e o hash.
  7. Como garantir forward secrecy no F5 BIG-IP. Não é uma caixa de seleção, e sim uma consequência da configuração de cifras: troca de chaves efêmera ou nenhuma.
  8. Renegociação, renegociação segura e OCSP stapling. Se uma conexão pode renegociar, a renegociação segura que a protege e o stapling da resposta do Online Certificate Status Protocol () no handshake.
  9. TLS mútuo com peer-cert-mode. peer-cert-mode e um bundle de CAs confiáveis, e a distância entre pedir um certificado de cliente e exigi-lo.
  10. TLS pós-quântico no BIG-IP: os híbridos ML-KEM. A linhagem da troca de chaves híbrida no BIG-IP, do primeiro híbrido à família completa de curvas do .
  11. ACME no BIG-IP: dos scripts do DevCentral a um cliente nativo. Dos scripts da comunidade a um cliente nativo: emissão, renovação e implantação para qualquer autoridade ACME.
  12. F5 SSL Orchestrator: topologias de forward e reverse proxy. Decifrar uma vez e conduzir por uma cadeia de dispositivos de segurança: as topologias de forward e de reverse proxy.