تكوين ESA لتفضيل سرية إعادة التوجيه المثالية

خيارات التنزيل

  • PDF     (264.8 KB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (81.6 KB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (69.0 KB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:١٣ أكتوبر ٢٠٢٦
معرّف المستند:200169

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المحتويات

المقدمة

يصف هذا وثيقة كيف أن يشكل التفضيل ل PFS في TLS يشفر توصيل على ال بريد إلكتروني أمن تطبيق (ESA).

المتطلبات الأساسية

المتطلبات

cisco يوصي أن يتلقى أنت معرفة من يأمن طبقة مآخذ التوصيل (SSL)/نقل طبقة أمن (TLS).

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى AsyncOS لإصدار Email 9.6 والإصدارات الأحدث.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

تدعم ESA السرية التامة لإعادة التوجيه (PFS). تعني PFS أن البيانات يتم نقلها عبر قناة تستخدم تشفير متماثل بأسرار سريعة. حتى إذا تم أختراق المفتاح الخاص على جهاز مضيف واحد أو كليهما، لا يمكن فك تشفير جلسة عمل مسجلة مسبقا.

لا يتم نقل السر عبر القناة. بدلا من ذلك، يشتق السر المشترك مع مشكلة Diffie-Hellman (DH). يتم تخزين السر فقط في المضيف ذاكرة الوصول العشوائي (RAM) أثناء الجلسة المحددة أو مهلة إعادة إنشاء المفتاح.

تدعم ESA DH لتبادل المفاتيح.

التكوين

الوارد - يعمل ESA كخادم TLS

تتوفر مجموعات التشفير هذه على ESA لحركة مرور بروتوكول نقل البريد البسيط الوارد (SMTP) وتوفر ملفات PFS. في هذا المثال، يسمح تحديد التشفير فقط لمجموعات التشفير التي تعتبر عالية أو متوسطة، ويستخدم EDH المؤقت Diffie-Hellman (EDH) لتبادل المفاتيح، ويفضل TLSv1.2. تكون صياغة تحديد التشفير بعد صياغة OpenSSL.

تشفير مع سرية إعادة التوجيه على AsyncOS 9.6+:

"EDH+TLSv1.2:EDH+HIGH:EDH+MEDIUM:!LOW:!EXP:!aNULL:!RC4:!DSS:!SEED:!IDEA:!MD5:!PSK:!3DES:!SRP"

List:
TLS_AES_256_GCM_SHA384  TLSv1.3 Kx=any      Au=any Enc=AESGCM(256) Mac=AEAD
TLS_CHACHA20_POLY1305_SHA256 TLSv1.3 Kx=any Au=any  Enc=CHACHA20/POLY1305(256) Mac=AEAD
TLS_AES_128_GCM_SHA256  TLSv1.3 Kx=any      Au=any  Enc=AESGCM(128) Mac=AEAD
DHE-RSA-AES256-GCM-SHA384 TLSv1.2 Kx=DH       Au=RSA  Enc=AESGCM(256) Mac=AEAD
DHE-RSA-CHACHA20-POLY1305 TLSv1.2 Kx=DH       Au=RSA  Enc=CHACHA20/POLY1305(256) Mac=AEAD
DHE-RSA-AES256-CCM      TLSv1.2 Kx=DH       Au=RSA  Enc=AESCCM(256) Mac=AEAD
DHE-RSA-AES128-GCM-SHA256 TLSv1.2 Kx=DH       Au=RSA  Enc=AESGCM(128) Mac=AEAD
DHE-RSA-AES128-CCM      TLSv1.2 Kx=DH       Au=RSA  Enc=AESCCM(128) Mac=AEAD
DHE-RSA-AES256-SHA256   TLSv1.2 Kx=DH       Au=RSA  Enc=AES(256)  Mac=SHA256
DHE-RSA-CAMELLIA256-SHA256 TLSv1.2 Kx=DH       Au=RSA  Enc=Camellia(256) Mac=SHA256
DHE-RSA-AES128-SHA256   TLSv1.2 Kx=DH       Au=RSA  Enc=AES(128)  Mac=SHA256
DHE-RSA-CAMELLIA128-SHA256 TLSv1.2 Kx=DH       Au=RSA  Enc=Camellia(128) Mac=SHA256
DHE-RSA-AES128-SHA      SSLv3 Kx=DH       Au=RSA  Enc=AES(128)  Mac=SHA1
DHE-RSA-CAMELLIA128-SHA SSLv3 Kx=DH       Au=RSA  Enc=Camellia(128) Mac=SHA1

يظهر حقل Kx (تبادل المفاتيح) أن DH يتم إستخدامه لاستخلاص السر.

تدعم ESA هذه التشفير باستخدام إعداد sslconfig الافتراضي (:ALL)، ولكنها لا تفضلها. لتفضيل التشفير الذي يعرض PFS، قم بتعديل sslconfig وأضف EDH أو مجموعة مثل EDH+<cipher أو اسم مجموعة التشفير> إلى تحديد التشفير.

  1. راجع التكوين الافتراضي.
ESA> sslconfig

sslconfig settings:
  Inbound SMTP method:  tlsv1/tlsv1.2
  Inbound SMTP ciphers: 
        RC4-SHA
        RC4-MD5
        ALL

2. قم بتكوين تفضيل التشفير الوارد الجديد.

ESA> sslconfig

Inbound SMTP method:  tlsv1/tlsv1.2
  Inbound SMTP ciphers: 
        EDH+TLSv1.2
        EDH+HIGH
        EDH+MEDIUM
        RC4-SHA
        RC4-MD5
        ALL

ملاحظة: ويعتبر RC4 كتشفير و MD5 كجهاز للتحكم في الوصول إلى الوسائط (MAC) ضعيفين ومتخلفين. تجنب إستخدامها مع SSL/TLS، وخاصة لوحدات تخزين البيانات الأعلى بدون إعادة إنشاء المفاتيح.

إعدادات sslconfig الموصى بها للداخل

يوضح هذا المثال التكوين الموصى به الذي يسمح فقط بشفرات تعتبر عامة قوية وآمنة.

يزيل تكوين الوارد الموصى به RC4 و MD5، بالإضافة إلى الخيارات القديمة والضعيفة مثل التصدير (EXP) والخيارات المنخفضة (LOW) و IDEA و SEED و 3DES وشهادات DSS وتبادل المفاتيح مجهول المصدر (ANULL) والمفاتيح المشتركة مسبقا (PSK) و SRP. كما يقوم بتعطيل Diffie-hellman (ECDH) للمنحنى البيضاوي لتبادل المفاتيح وخوارزمية التوقيع الرقمي للمنحنى البيضاوي (ECDSA).

  1. أدخل سلسلة التشفير التالية في sslconfig.
EDH+TLSv1.2:EDH+HIGH:EDH+MEDIUM:HIGH:MEDIUM:!ECDH:!ECDSA:!LOW:!EXP:!aNULL:!RC4:!DSS:!SEED:!IDEA:!MD5:!PSK:!3DES:!SRP

ينتج عن السلسلة التي تم إدخالها في sslconfig هذه القائمة من التشفير المدعوم للداخل:

TLS_AES_256_GCM_SHA384  TLSv1.3 Kx=any      Au=any  Enc=AESGCM(256) Mac=AEAD
TLS_CHACHA20_POLY1305_SHA256 TLSv1.3 Kx=any      Au=any  Enc=CHACHA20/POLY1305(256) Mac=AEAD
TLS_AES_128_GCM_SHA256  TLSv1.3 Kx=any      Au=any  Enc=AESGCM(128) Mac=AEAD
DHE-RSA-AES256-GCM-SHA384 TLSv1.2 Kx=DH       Au=RSA  Enc=AESGCM(256) Mac=AEAD
DHE-RSA-CHACHA20-POLY1305 TLSv1.2 Kx=DH       Au=RSA  Enc=CHACHA20/POLY1305(256) Mac=AEAD
DHE-RSA-AES256-CCM      TLSv1.2 Kx=DH       Au=RSA  Enc=AESCCM(256) Mac=AEAD
DHE-RSA-AES128-GCM-SHA256 TLSv1.2 Kx=DH       Au=RSA  Enc=AESGCM(128) Mac=AEAD
DHE-RSA-AES128-CCM      TLSv1.2 Kx=DH       Au=RSA  Enc=AESCCM(128) Mac=AEAD
DHE-RSA-AES256-SHA256   TLSv1.2 Kx=DH       Au=RSA  Enc=AES(256)  Mac=SHA256
DHE-RSA-CAMELLIA256-SHA256 TLSv1.2 Kx=DH       Au=RSA  Enc=Camellia(256) Mac=SHA256
DHE-RSA-AES128-SHA256   TLSv1.2 Kx=DH       Au=RSA  Enc=AES(128)  Mac=SHA256
DHE-RSA-CAMELLIA128-SHA256 TLSv1.2 Kx=DH       Au=RSA  Enc=Camellia(128) Mac=SHA256
DHE-RSA-AES128-SHA      SSLv3 Kx=DH       Au=RSA  Enc=AES(128)  Mac=SHA1
DHE-RSA-CAMELLIA128-SHA SSLv3 Kx=DH       Au=RSA  Enc=Camellia(128) Mac=SHA1
AES256-GCM-SHA384       TLSv1.2 Kx=RSA      Au=RSA  Enc=AESGCM(256) Mac=AEAD
AES256-CCM              TLSv1.2 Kx=RSA      Au=RSA  Enc=AESCCM(256) Mac=AEAD
AES128-GCM-SHA256       TLSv1.2 Kx=RSA      Au=RSA  Enc=AESGCM(128) Mac=AEAD
AES128-CCM              TLSv1.2 Kx=RSA      Au=RSA  Enc=AESCCM(128) Mac=AEAD
AES256-SHA256           TLSv1.2 Kx=RSA      Au=RSA  Enc=AES(256)  Mac=SHA256
CAMELLIA256-SHA256      TLSv1.2 Kx=RSA      Au=RSA  Enc=Camellia(256) Mac=SHA256
AES128-SHA256           TLSv1.2 Kx=RSA      Au=RSA  Enc=AES(128)  Mac=SHA256
CAMELLIA128-SHA256      TLSv1.2 Kx=RSA      Au=RSA  Enc=Camellia(128) Mac=SHA256
AES256-SHA              SSLv3 Kx=RSA      Au=RSA  Enc=AES(256)  Mac=SHA1
AES128-SHA              SSLv3 Kx=RSA      Au=RSA  Enc=AES(128)  Mac=SHA1
CAMELLIA128-SHA         SSLv3 Kx=RSA      Au=RSA  Enc=Camellia(128) Mac=SHA1

ملاحظة: لا تدعم الإيسا التي تعمل كخادم TLS لحركة المرور الواردة حاليا المنحنى الإهليلجي Diffie-Hellman Ephameral (ECDHE) لشهادات التبادل الرئيسي أو شهادات ECDSA.

الصادر - تعمل ESA كعميل TLS

بالنسبة لحركة مرور SMTP الصادرة، تدعم ESA شهادات ECDHE و ECDSA بالإضافة إلى القدرات الواردة.

ملاحظة: شهادات تشفير المنحنى البيضاوي (ECC) التي تستخدم ECDSA لا يتم اعتمادها بشكل واسع.

عند تسليم بريد إلكتروني صادر، يكون ESA هو عميل TLS. شهادة عميل TLS إختيارية. إذا لم يتطلب خادم TLS من ESA توفير شهادة عميل ECDSA، فيمكن ل ESA متابعة جلسة عمل مؤمنة بواسطة ECDSA. عندما يطلب من ESA كعميل TLS شهادتها، فإنها توفر شهادة RSA التي تم تكوينها للاتجاه الصادر.

تحذير: لا يتضمن مخزن شهادات CA (قائمة النظام) المثبت مسبقا في ESA شهادات جذر ECC (ECDSA). قد تحتاج إلى إضافة تراخيص جذر نظام تصحيح الأخطاء (ECC) الموثوق بها يدويا إلى القائمة المخصصة لجعل سلسلة ثقة ECC قابلة للتحقق.

لتفضيل شفرات DHE/ECDHE التي تقدم PFS، قم بتعديل تحديد شفرة sslconfig.

  1. إضافة هذه السلسلة إلى تحديد التشفير الحالي.
"EDH+TLSv1.2:ECDH+TLSv1.2:EDH+HIGH:EDH+MEDIUM:ECDH+HIGH:ECDH+MEDIUM"

إعدادات sslconfig الموصى بها ل OUTBOUND

يوضح هذا المثال التكوين الموصى به الذي يسمح فقط بشفرات تعتبر عامة قوية وآمنة.

EDH+TLSv1.2:ECDH+TLSv1.2:EDH+HIGH:EDH+MEDIUM:ECDH+HIGH:ECDH+MEDIUM:HIGH:MEDIUM:!LOW:!EXP:!aNULL:!RC4:!DSS:!SEED:!IDEA:!MD5:!PSK:!3DES:!SRP

ينتج عن السلسلة التي تم إدخالها في sslconfig هذه القائمة من التشفير المدعوم للصادر:

TLS_AES_256_GCM_SHA384  TLSv1.3 Kx=any      Au=any  Enc=AESGCM(256) Mac=AEAD
TLS_CHACHA20_POLY1305_SHA256 TLSv1.3 Kx=any      Au=any  Enc=CHACHA20/POLY1305(256) Mac=AEAD
TLS_AES_128_GCM_SHA256  TLSv1.3 Kx=any      Au=any  Enc=AESGCM(128) Mac=AEAD
DHE-RSA-AES256-GCM-SHA384 TLSv1.2 Kx=DH Au=RSA Enc=AESGCM(256) Mac=AEAD
DHE-RSA-AES256-SHA256 TLSv1.2 Kx=DH Au=RSA Enc=AES(256) Mac=SHA256
DHE-RSA-AES128-GCM-SHA256 TLSv1.2 Kx=DH Au=RSA Enc=AESGCM(128) Mac=AEAD
DHE-RSA-AES128-SHA256 TLSv1.2 Kx=DH Au=RSA Enc=AES(128) Mac=SHA256
ECDHE-RSA-AES256-GCM-SHA384 TLSv1.2 Kx=ECDH Au=RSA Enc=AESGCM(256) Mac=AEAD
ECDHE-ECDSA-AES256-GCM-SHA384 TLSv1.2 Kx=ECDH Au=ECDSA Enc=AESGCM(256) Mac=AEAD
ECDHE-RSA-AES256-SHA384 TLSv1.2 Kx=ECDH Au=RSA Enc=AES(256) Mac=SHA384
ECDHE-ECDSA-AES256-SHA384 TLSv1.2 Kx=ECDH Au=ECDSA Enc=AES(256) Mac=SHA384
ECDHE-RSA-AES128-GCM-SHA256 TLSv1.2 Kx=ECDH Au=RSA Enc=AESGCM(128) Mac=AEAD
ECDHE-ECDSA-AES128-GCM-SHA256 TLSv1.2 Kx=ECDH Au=ECDSA Enc=AESGCM(128) Mac=AEAD
ECDHE-RSA-AES128-SHA256 TLSv1.2 Kx=ECDH Au=RSA Enc=AES(128) Mac=SHA256
ECDHE-ECDSA-AES128-SHA256 TLSv1.2 Kx=ECDH Au=ECDSA Enc=AES(128) Mac=SHA256
DHE-RSA-AES256-SHA SSLv3 Kx=DH Au=RSA Enc=AES(256) Mac=SHA1
DHE-RSA-CAMELLIA256-SHA SSLv3 Kx=DH Au=RSA Enc=Camellia(256) Mac=SHA1
DHE-RSA-AES128-SHA SSLv3 Kx=DH Au=RSA Enc=AES(128) Mac=SHA1
DHE-RSA-CAMELLIA128-SHA SSLv3 Kx=DH Au=RSA Enc=Camellia(128) Mac=SHA1
ECDHE-RSA-AES256-SHA SSLv3 Kx=ECDH Au=RSA Enc=AES(256) Mac=SHA1
ECDHE-ECDSA-AES256-SHA SSLv3 Kx=ECDH Au=ECDSA Enc=AES(256) Mac=SHA1
ECDHE-RSA-AES128-SHA SSLv3 Kx=ECDH Au=RSA Enc=AES(128) Mac=SHA1
ECDHE-ECDSA-AES128-SHA SSLv3 Kx=ECDH Au=ECDSA Enc=AES(128) Mac=SHA1
AES256-GCM-SHA384 TLSv1.2 Kx=RSA Au=RSA Enc=AESGCM(256) Mac=AEAD
AES256-SHA256 TLSv1.2 Kx=RSA Au=RSA Enc=AES(256) Mac=SHA256
AES256-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(256) Mac=SHA1
CAMELLIA256-SHA SSLv3 Kx=RSA Au=RSA Enc=Camellia(256) Mac=SHA1
AES128-GCM-SHA256 TLSv1.2 Kx=RSA Au=RSA Enc=AESGCM(128) Mac=AEAD
AES128-SHA256 TLSv1.2 Kx=RSA Au=RSA Enc=AES(128) Mac=SHA256
AES128-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(128) Mac=SHA1
CAMELLIA128-SHA SSLv3 Kx=RSA Au=RSA Enc=Camellia(128) Mac=SHA1

التحقق من الصحة

أستخدم هذه الخطوات للتحقق من أن ESA يفضل مجموعات تشفير PFS.

  1. قم بتشغيل sslconfig ومراجعة سلاسل التشفير الواردة والصادرة التي تم تكوينها.
  2. تأكد من أن تحديد التشفير يتضمن EDH لتفضيل DHE، ولحركة المرور الصادرة، إدخالات ECDH حيثما ينطبق ذلك.
  3. راجع قائمة التشفير الناتجة التي يتم عرضها بواسطة sslconfig وتأكد من ظهور مجموعات شفرة DHE أو ECDHE قبل مجموعات شفرة تبادل مفاتيح RSA.
  4. اختبر اتصال TLS وتأكد من أن مجموعة التشفير التي تم التفاوض عليها تستخدم DHE أو ECDHE عندما يدعمها نظير TLS البعيد.

استكشاف الأخطاء وإصلاحها

أستخدم هذه التحققات إذا لم تتفاوض ESA على مجموعة تشفير PFS.

  • دققت أن يشكل sslconfig شفرة خيط EDH ل حركة مرور قادم وال EDH أو ECDH قيمة ل حركة مرور الصادرة.
  • تأكد من أن خادم TLS البعيد أو عميل TLS يدعم مجموعات شفرة DHE أو ECDHE. إذا لم يدعمها النظير، فيمكن ل ESA التفاوض على مجموعة تشفير غير PFS لا يزال مسموحا بها بواسطة التكوين.
  • للجلسات المستندة إلى ECDSA الصادرة، تأكد من أن النظير لا يتطلب شهادة عميل ECDSA. تقدم ESA شهادة RSA التي تم تكوينها للاتجاه الصادر عند طلب شهادة عميل.
  • للتحقق من ثقة ECC الصادرة، تأكد من وجود شهادات جذر ECC المطلوبة في القائمة المخصصة إذا لم تكن مضمنة في قائمة النظام.

معلومات ذات صلة

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
2.0
13-Oct-2026
تقويم
1.0
29-Sep-2015
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Timo Steinlein
    Cisco TAC Engineer
  • Enrico Werner
    Cisco TAC Engineer

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات