BIG-IP を SSL アクセラレータとして機能させる
サーバー証明書と秘密鍵は BIG-IP に導入する
- サーバー証明書だけでなく別途中間 CA 証明書のインストールが必要な場合は、両方 BIG-IP にインストールします。
■SSL プロファイル設定時の注意
- Client SSL Profile ← クライアント（インターネット経由でアクセスしてくるユーザー等）と BIG-IP 間で SSL 通信
- Server SSL Profile ← Web サーバーと BIG-IP 間で SSL 通信
BiG-IP での手順の流れ
ゼロからバーチャルサーバーを作成するのではなく、すでに設定がある環境の場合を想定しています。
- 秘密鍵を作成する
- CSR ファイルを作成する
- CA（認証局）に CSR ファイルを送付し、サーバー証明書を作成してもらう
- BIG-IP に秘密鍵をインポートする
- BIG-IP にサーバー証明書をインポートする
- BIG-IP で Client SSL Profile を作成する（既に前年に Client SSL Profile を作成していた場合は、SSL Profile（Client）を入れ替える）
- Virtual Server List で該当する Client SSL Profile が適用されていることを確認する
BIG-IP 上で CSR ファイルを作成する場合
以下の設定が正しいか確認します。
■Certificate Properties
- Common Name ← Web サーバーのFQDN
- Division ← 部門名（IT、Salesなど）
- Organization ← 英語表記の会社名、組織名（IT Company など）
- Locality ← 市区町村（Minato-ku（港区）、Shinjuku-ku（新宿区）、Shibuya-ku（渋谷区）など）
- State Or Province ← 都道府県（Tokyo（東京）、Osaka（大阪）など）
- Country ← JP（日本）
秘密鍵のインポート
■SSL Certificate/Key Source の設定
- Import Type ← Key を選択します。
- Key Name ← Create New にチェックを入れて Key Name を設定します。
- Key Source ← 秘密鍵ファイルをアップロードする場合は Upload File を選択し、秘密鍵の中身をコピペする場合は Paste Text を選択します。
最後に「Import」ボタンをクリックします。
※注意点
Key Name と Certificate Name を一致させます。
最終的に「Contents」が「Certificate & Key」になることを確認します。
サーバー証明書のインポート
- Import Type ← Certificate を選択します。
- Certificate Name ← Create New にチェックを入れて Certificate Name を設定します。
- Certificate Source ← サーバー証明書をアップロードする場合は Upload File を選択し、サーバー証明書の中身をコピペする場合は Paste Text を選択します。
※注意点
Key Name と Certificate Name を一致させます。
最終的に「Contents」が「Certificate & Key」になることを確認します。
Client SSL Profile の設定
■Client SSL Profile 設定のポイント
- Cetificate ← 正しい SSL サーバ証明書になっていること
- Key ← 正しい秘密鍵が設定されていること
- Pass Phrase ← 秘密鍵を作成した際に設定していたらパスワードが入力されていること
- Chain ← 正しい中間 CA 証明書が設定されていること
プロファイル（Profile）を作成したら、バーチャルサーバー（Virtual Server）に関連付けます。
Virtual Server の設定
- SSL Profile（Client） ← インストールした SSL Profile（Client）になっていること
BIG-IP マニュアル
BIG-IP Local Traffic Management 設定ガイド バージョン 10.0.0（524ページ）
http://www.f5networks.co.jp/shared/f5pm/manual/bigip/data/ja/10_0/BIG-IP_LTM_100_guide_ja.pdf
F5 資料ダウンロード（設定作業マニュアルダウンロード）
https://www.networld.co.jp/product/f5/documentation/
以下のように各種ドキュメントをダウンロードできます。
BIG-IP 参考サイト
ネットワールド様の BIG-IP 操作手順です。
115ページある pdf ファイルです。
SSL/TLS 設定ガイド (v11.5.4 対応) ［基本編］サーバ証明書/クライアント証明書認証
https://www.networld.co.jp/files/5714/6277/9108/SSL_easy_Setup_Guide_20160409.pdf
コメント