![]() |
Режимы взаимодействия ФПСУ-TLS и защищаемой службы |
![]() |
При добавлении в список защищаемых серверов новой записи (см. пункт Настройка защищаемых http-серверов), администратор ФПСУ-TLS может уточнить, каким образом будет осуществляться обработка направляемого к добавляемому серверу клиентского трафика: передаваться в открытом виде с применением только HTTP протокола, или по защищенному TLS-соединению, при котором ФПСУ-TLS будет выступать инициализирующим соединение клиентом, а добавляемый сервер – в роли TLS-сервера. Режим «TLS-сервер» Опция по умолчанию, «TLS-сервер», предполагает защищенное соединение с ФПСУ-TLS от TLS-клиента из внешней сети, и незащищенное http-соединение с защищаемым сервером, транслирующее клиентский трафик к Веб-Сервису: Такая схема предполагается к использованию, когда защищаемый сервер установлен в доверенной среде внутренней локальной сети организации, а клиент подключается к локальной сети из общедоступной сети (например, Internet). Режим «TLS-клиент» Опции «TLS-клиент ГОСТ» и «TLS-клиент RSA» используют одну и ту же схему работы, отличаясь только используемым в TLS соединении криптографическим протоколом. Эти режимы работы предполагают незащищенное http-соединение с ФПСУ-TLS от клиента из внешней сети, и защищенное TLS-соединение с защищаемым сервером: Такая схема может быть использована, когда подключающийся с внешнего порта клиент не имеет возможности использовать TLS-протокол, или находящаяся на внешнем порту сеть передачи данных считается доверенной. Для организации соединения ФПСУ-TLS с защищаемым сервером потребуются установленный на ФПСУ-TLS клиентский личный сертификат, а на защищаемый сервер – серверный личный сертификат, выданные УЦ. Корневые сертификаты таких УЦ должны быть установлены на ФПСУ-TLS и на защищаемый сервер. Режим «шлюз TLS-TLS» Опции «шлюз TLS ГОСТ» и «шлюз TLS RSA» используют одну и ту же схему работы, отличаясь только используемым в TLS соединении криптографическим протоколом. Эти режимы работы предполагают защищенное TLS-соединение с ФПСУ-TLS от клиента из внешней сети, и защищенное TLS-соединение с защищаемым сервером: Для организации соединения ФПСУ-TLS с защищаемым сервером потребуются установленный на ФПСУ-TLS клиентский личный сертификат, а на защищаемый сервер – серверный личный сертификат, выданные УЦ. Корневые сертификаты таких УЦ должны быть установлены на ФПСУ-TLS и на защищаемый сервер. |