Настройка параметров TLS для хранилища резервных копий

Настройка параметров TLS для хранилища резервных копий#

Для фильтрации подключений к хранилищу резервных копий можно указать допустимые версии протокола TLS и криптографические алгоритмы.

Ограничение использования протоколов TLS 1.0 и 1.1

Укажите соответствующее значение для параметра advanced.min_tls_version в файле /etc/vstorage/abgw.config. Можно использовать следующие значения:

  • 0: разрешить использование версий 1.0, 1.1 и 1.2 протокола TLS

  • 1: разрешить использование версий 1.1 и 1.2 протокола TLS

  • 2: разрешить использование только версии 1.2 протокола TLS

Например, чтобы разрешить использование всех версий протокола TLS, установите значение 0 следующим образом:

advanced.min_tls_version = 0

Разрешение подключения к хранилищу резервных копий только с использованием определенных криптографических алгоритмов

Укажите их в параметре advanced.tls_ciphers файла /etc/vstorage/abgw.config. Если клиент не использует ни один из указанных алгоритмов, подключение будет сброшено. Сведения о формате и полный набор алгоритмов см. на странице руководства по алгоритмам.

По умолчанию используются следующие алгоритмы:

  • ECDHE-ECDSA-CHACHA20-POLY1305

  • ECDHE-RSA-CHACHA20-POLY1305

  • ECDHE-ECDSA-AES256-GCM-SHA384

  • ECDHE-RSA-AES256-GCM-SHA384

  • ECDHE-ECDSA-AES128-GCM-SHA256

  • ECDHE-RSA-AES128-GCM-SHA256

  • ECDHE-ECDSA-AES128-SHA256

  • ECDHE-RSA-AES128-SHA256

  • DHE-RSA-AES128-GCM-SHA256

  • DHE-RSA-AES128-SHA256

  • ECDHE-RSA-AES256-SHA

  • ECDHE-ECDSA-AES128-SHA

  • ECDHE-RSA-AES128-SHA

  • DHE-RSA-AES128-SHA

  • AES128-GCM-SHA256

  • AES128-SHA256

  • AES128-SHA

Обратите внимание на следующее:

  • Если вы указали один алгоритм (например, RSA-AES128) и он не поддерживается, подключение будет сброшено.

  • Если вы указали два алгоритма (например, CAMELIA и RSA-AES128) и поддерживается только один из них (например, CAMELIA), для подключения будет использован поддерживаемый алгоритм (в данном случае CAMELIA).

  • Если указать пустое значение, все подключения будут завершаться сбоем.

Например, чтобы ограничить использование алгоритмов только алгоритмами ECDHE-ECDSA-CHACHA20-POLY1305 и ECDHE-RSA-CHACHA20-POLY1305, укажите их следующим образом, разделив двоеточием:

advanced.tls_ciphers = ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305

См. также