Network Security Platform 7.0 IPS Administration Guide - McAfee

如何启用 SSL 解密
适用于 DiffServ 标记的网络方案
考虑以下网络方案:将一所大学的内部网络连接至 Internet,并按照下图所示部署 Network Security Platform 和路由器。
图 4-40 适用于 DiffServ 标记的方案
假设您要对从大学网络到 Internet 的 HTTP 和 P2P 流量设置优先顺序。要设置流量的优先顺序,可以配置适用于
DiffServ 或 VLAN 标记的 Sensor。Sensor 的角色只是标记数据包并将其传递到外部网络设备(此处为路由器)以进行
DiffServ 或 VLAN 分类。
假设您要为从大学网络到 Internet 的 HTTP 流量提供较高的优先级。可以使用 DiffServ 规则来配置 Sensor 端口 1B,
对 HTTP 流量而言,将 DiffServ 字段的值设置为 60。当来自大学网络的 HTTP 流量到达 Sensor 端口 1B 时,Sensor
将使用配置中指定的 DiffServ 字段值(在本示例中为 60)来标记数据包报头。标记的数据包被发送给路由器,该路由器
配置为执行 DiffServ 分类。现在,系统将按照路由器中定义的 DiffServ 优先级来设置流量的优先顺序。请注意,
Sensor 只标记传入的流量并将其传递给外部网络设备(在本例中为路由器),以便进一步执行 DiffServ 分类。
同样,要为从大学网络到 Internet 的 P2P 流量提供较低的优先级,可以使用 DiffServ 规则来配置 Sensor 的端口 1B,
以将 DiffServ 字段的值设置为 5。当来自大学网络的 P2P 流量到达 Sensor 端口 1B 时,Sensor 将使用在配置中指定
的 DiffServ 字段值(在本示例中为 5)来标记数据包报头。标记的数据包随后将到达路由器,随即根据路由器中配置的规
则执行 DiffServ 分类并设置优先顺序。
“Sensor_Name(Sensor 名称)” | “SSL Decryption(SSL 解密)”选项卡上的操作可用于针对 Sensor 启用安全套接字层
(SSL) 解密,以及导入和管理 Sensor 用于解密的 SSL 密钥。
有关 Network Security Platform 中的 SSL 功能描述,请参阅“McAfee Network Security Platform 入门手册”。
这一部分的可用操作有:
• 配置 Sensor 的 SSL 功能:启用 SSL 解密和配置 Sensor SSL 参数。
• 管理 Sensor 的已导入 SSL 密钥:为选定 Sensor 管理已导入至 Manager 的 SSL 密钥。
• 将 SSL 密钥导入到 Manager 以用于 Sensor:将 SSL 密钥导入到 Manager,以便下载到 Sensor 来对 SSL 流量进
行解密。
图 4-41 “SSL Decryption(SSL 解密)”选项卡
在 Sensor 级别配置 IPS 策略
如何启用 SSL 解密 4
McAfee ® Network Security Platform 7.0 IPS 管理手册 285