규칙 조건을 구성할 경우 리터럴 값을 수동으로 지정하고, 고유 이름(DN) 개체를 참조하거나 여러 개체가 포함된 고유 이름 그룹을 참조할 수 있습니다.

참고	Decrypt - Known Key(암호 해독 - 알려진 키) 작업도 선택할 경우 고유 이름(DN) 조건을 구성할 수 없습니다. 이 작업은 서버 인증서 선택을 통한 트래픽 해독이 필요하므로 인증서가 트래픽과 이미 일치합니다.

단일한 인증서 상태 규칙 조건의 여러 주체 및 발급자 DN을 대상으로 매칭할 수 있습니다. 규칙과 매칭하려면 하나의 공용 이름 또는 고유 이름(DN)만 매칭해야 합니다.

고유 이름(DN)을 수동으로 추가할 경우, 공용 이름 특성(CN)을 포함할 수 있습니다. CN= 없이 공용 이름(CN)을 추가하면 개체를 저장하기 전에 시스템이 CN=을 앞에 추가합니다.

다음 속성(C, CN, O, OU) 중 하나가 있는 고유 이름을 쉼표로 구분하여 추가할 수도 있습니다.

단일한 DN 조건에서 최대 50개의 리터럴 값 및 고유 이름(DN) 개체를 Subject DNs(주체 DN)에 추가하고, 50개의 리터럴 값 및 고유 이름(DN) 개체를 Issuer DNs(발급자 DN)에 추가할 수 있습니다.

시스템에서 제공된 DN 개체 그룹인 Cisco-Undecryptable-Sites에는 시스템이 해독할 수 없는 트래픽이 있는 웹사이트가 포함됩니다. 이 그룹을 DN 조건에 추가하면, 이러한 웹사이트에서 나가고 들어오는 트래픽을 차단하거나 해독하지 않도록 할 수 있으므로, 트래픽 해독을 시도하느라 시스템 리소스를 낭비하지 않아도 됩니다. 이 그룹의 개별 항목을 수정할 수 있습니다. 단, 이 그룹은 삭제할 수 없습니다. 시스템 업데이트로 인해 이 목록의 항목이 수정될 수 있지만 사용자 변경 사항은 그대로 유지됩니다.

인증서 기반 TLS/SSL 규칙 조건을 만들 경우, 서버 인증서를 업로드할 수 있습니다. 인증서를 재사용 가능한 외부 인증서 개체로 저장하고, 이름을 서버 인증서와 연결할 수 있습니다. 또는 기존 외부 인증서 개체 및 개체 그룹으로 인증서 조건을 구성할 수 있습니다.

다음과 같은 인증서 고유 이름(DN) 특성을 기준으로, 외부 인증서 개체 및 개체 그룹에 따라 규칙 조건의 Available Certificates(사용 가능한 인증서) 필드를 검색할 수 있습니다.

• 주체 또는 발급자 공용 이름(CN)

• 주체 또는 발급자 조직(O)

• 주체 또는 발급자 부서(OU)

단일한 인증서 규칙 조건의 여러 인증서와 매칭되도록 선택할 수 있습니다. 업로드된 인증서와 매칭되는 트래픽을 암호화하는 데 인증서가 사용된 경우, 암호화된 트래픽은 규칙과 매칭됩니다.

단일한 인증서 조건에서 최대 50개의 외부 인증서 개체 및 외부 인증서 개체 그룹을 Selected Certificates(선택한 인증서)에 추가할 수 있습니다.

다음 사항을 참고하십시오.

• Decrypt - Known Key(암호 해독 - 알려진 키) 작업도 선택할 경우 인증서 조건을 구성할 수 없습니다. 이 작업은 서버 인증서를 선택하여 트래픽을 해독해야 하므로, 이렇게 할 경우 인증서가 트래픽과 이미 매칭됩니다.

• 외부 인증서 개체가 포함된 인증서 조건을 구성할 경우, 암호 그룹 조건에 추가하는 모든 암호 그룹 또는 Decrypt - Resign(암호 해독 - 다시 서명) 작업에 연결되는 내부 CA 개체는 외부 인증서의 시그니처 알고리즘 유형과 매칭되어야 합니다. 예를 들어 규칙의 인증서 조건이 EC 기반 서버 인증서를 참조할 경우, 추가되는 모든 암호 그룹 또는 Decrypt - Resign(암호 해독 - 다시 서명) 작업과 연결되는 CA 인증서도 EC 기반이어야 합니다. 이때 시그니처 알고리즘 유형이 매칭되지 않을 경우, 정책 편집기에서는 규칙 옆에 경고가 표시됩니다.

구성하는 각 인증서 상태 TLS/SSL 규칙 조건의 경우, 지정된 상태가 있는 경우 또는 없는 경우에 대해 트래픽을 매칭할 수 있습니다. 하나의 규칙 조건에서 여러 개의 상태를 선택할 수 있습니다. 인증서가 선택한 상태와 매칭되는 경우, 규칙은 트래픽과 매칭됩니다.

단일한 인증서 상태 규칙 조건에 여러 인증서 상태가 있는 경우 또는 없는 경우와 매칭하도록 선택할 수 있습니다. 인증서는 규칙과 매칭하는 조건 중 하나에만 매칭되어야 합니다.

이 매개변수를 설정할 때는 암호 해독 규칙을 구성하는지 차단 규칙을 구성하는지를 고려해야 합니다. 일반적으로 차단 규칙의 경우에는 Yes(예)를, 암호 해독 규칙의 경우에는 No(아니요)를 클릭해야 합니다. 예:

• Decrypt - Resign(암호 해독 - 다시 서명) 규칙을 구성하는 경우, 기본 동작은 만료된 인증서가 있는 트래픽을 해독하는 것입니다. 이 동작을 변경하려면 만료된 인증서가 있는 트래픽이 해독 및 재서명되지 않도록 Expired(만료됨)에 대해 No(아니요)를 클릭하십시오.

• Block(차단) 규칙을 구성하는 경우, 기본 동작은 만료된 인증서가 있는 트래픽을 허용하는 것입니다. 이 동작을 변경하려면 만료된 인증서가 있는 트래픽이 차단되도록 Expired(만료됨)에 대해 Yes(예)를 클릭하십시오.

다음 표에는 암호화 서버 인증서 상태를 기준으로 암호화된 트래픽을 시스템이 평가하는 방법이 설명되어 있습니다.

인증서는 둘 이상의 상태와 일치할 수 있지만 규칙으로 인해 트래픽에서는 작업을 한 번만 수행할 수 있습니다.

CA가 인증서를 발급하거나 취소했는지 확인하려면 루트 및 중간 CA 인증서와 관련 CRL을 개체로 업로드해야 합니다. 그런 다음 이러한 신뢰할 수 있는 CA 개체를 SSL 정책의 신뢰할 수 있는 CA 인증서 목록에 추가합니다.

시스템에서는 암호 그룹 규칙 조건에 추가할 수 있는 미리 정의된 암호 그룹을 제공합니다. 여러 암호 그룹이 포함된 암호 그룹 목록 개체를 추가할 수도 있습니다.

참고	새 암호 그룹을 추가할 수 없습니다. 또한 미리 정의된 암호 그룹을 수정하거나 삭제할 수 없습니다.

단일한 암호 그룹 조건의 Selected Cipher Suites(선택한 암호화 그룹)에 최대 50개의 암호 그룹 및 암호 그룹 목록을 추가할 수 있습니다. 다음과 같은 암호 그룹을 암호 그룹 조건에 추가할 수 있습니다.

• SSL_RSA_FIPS_WITH_3DES_EDE_CBC_SHA

• SSL_RSA_FIPS_WITH_DES_CBC_SHA

• TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA

• TLS_DHE_RSA_WITH_AES_128_CBC_SHA

• TLS_DHE_RSA_WITH_AES_128_CBC_SHA256

• TLS_DHE_RSA_WITH_AES_128_GCM_SHA256

• TLS_DHE_RSA_WITH_AES_256_CBC_SHA

• TLS_DHE_RSA_WITH_AES_256_CBC_SHA256

• TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

• TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA

• TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA256

• TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA

• TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA256

• TLS_DHE_RSA_WITH_DES_CBC_SHA

• TLS_DH_Anon_WITH_AES_128_GCM_SHA256

• TLS_DH_Anon_WITH_AES_256_GCM_SHA384

• TLS_DH_Anon_WITH_CAMELLIA_128_CBC_SHA

• TLS_DH_anon_WITH_CAMELLIA_128_CBC_SHA256

• TLS_DH_Anon_WITH_CAMELLIA_256_CBC_SHA

• TLS_DH_anon_WITH_CAMELLIA_256_CBC_SHA256

• TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA

• TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA

• TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256

• TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

• TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

• TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384

• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

• TLS_ECDHE_ECDSA_WITH_NULL_SHA

• TLS_ECDHE_ECDSA_WITH_RC4_128_SHA

• TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA

• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

• TLS_ECDHE_RSA_WITH_NULL_SHA

• TLS_ECDHE_RSA_WITH_RC4_128_SHA

• TLS_RSA_WITH_3DES_EDE_CBC_SHA

• TLS_RSA_WITH_AES_128_CBC_SHA

• TLS_RSA_WITH_AES_128_CBC_SHA256

• TLS_RSA_WITH_AES_128_GCM_SHA256

• TLS_RSA_WITH_AES_256_CBC_SHA

• TLS_RSA_WITH_AES_256_CBC_SHA256

• TLS_RSA_WITH_AES_256_GCM_SHA384

• TLS_RSA_WITH_CAMELLIA_128_CBC_SHA

• TLS_RSA_WITH_CAMELLIA_128_CBC_SHA256

• TLS_RSA_WITH_CAMELLIA_256_CBC_SHA

• TLS_RSA_WITH_CAMELLIA_256_CBC_SHA256

• TLS_RSA_WITH_DES_CBC_SHA

• TLS_RSA_WITH_NULL_MD5

• TLS_RSA_WITH_NULL_SHA

• TLS_RSA_WITH_RC4_128_MD5

• TLS_RSA_WITH_RC4_128_SHA

다음에 유의하십시오.

• 구축에 대해 지원되지 않는 암호 그룹을 추가하는 경우, 구성을 구축할 수 없습니다. 예를 들어 패시브 구축은 DHE(Diffie-Hellman Ephemeral) 또는 ECDHE(Ephemeral Elliptic Curve Diffie-Hellman) 암호 그룹을 사용한 트래픽 암호 해독을 지원하지 않습니다. 이러한 암호 그룹이 포함된 규칙을 생성할 경우 액세스 제어 정책을 구축할 수 없습니다.

• 암호 그룹이 포함된 암호 그룹 조건을 구성할 경우, 인증서 조건에 추가하는 외부 인증서 개체 또는 Decrypt - Resign(암호 해독 - 다시 서명) 작업에 연결되는 내부 CA 개체는 암호 그룹의 시그니처 알고리즘 유형과 매칭되어야 합니다. 예를 들어 규칙의 암호 그룹 조건이 EC 기반 암호 그룹을 참조할 경우, 추가되는 모든 서버 인증서 또는 Decrypt - Resign(암호 해독 - 다시 서명) 작업과 연결되는 CA 인증서도 EC 기반이어야 합니다. 이때 시그니처 알고리즘 유형이 매칭되지 않을 경우, 정책 편집기에서는 규칙 옆에 경고 아이콘이 표시됩니다.

• 시스템은 익명 암호 그룹으로 암호화된 트래픽을 해독할 수 없습니다. 익명 암호 그룹을 Cipher Suite(암호 그룹) 조건에 추가할 경우, SSL 규칙에서 Decrypt - Resign(암호 해독 - 다시 서명) 또는 Decrypt - Known Key(암호 해독 - 알려진 키) 작업을 사용할 수 없습니다.

SSL 버전 3.0, 또는 TLS 버전 1.0, 1.1, 1.2로 암호화된 트래픽과 매칭되도록 선택할 수 있습니다. 기본적으로, 규칙을 생성할 때 모든 프로토콜 버전이 선택됩니다. 여러 버전을 선택할 경우, 선택한 버전과 매칭되는 암호화된 트래픽은 규칙과 매칭됩니다. 규칙 조건을 저장할 경우 하나 이상의 프로토콜 버전을 선택해야 합니다.

SSL v2.0은 버전 규칙 조건에서 선택할 수 없습니다. 시스템에서는 SSL 버전 2.0으로 암호화된 트래픽의 암호 해독을 지원하지 않습니다. 해독 불가능한 작업을 구성하여 추가 검사 없이 이 트래픽을 허용하거나 차단하도록 할 수 있습니다.