Menu
Comprendre F5 · LTM

F5 : Client SSL, Server SSL et modes TLS

Distinguer passthrough, offload et ré-encryption ; identifier où le TLS se termine et quelles fonctions HTTP deviennent possibles.

Thomas SAUTIER · Publié le · Révisions de certification

Références et objectifs de certification (6)
  • Certification : F5 301A · Référence consultée le · Objectifs abordés : F5 301A 1.01, F5 301A 1.04, F5 301A 1.06, F5 301A 1.10.
  • Certification : F5 301B · Référence consultée le · Objectifs abordés : F5 301B 2.07, F5 301B 2.09.
  • Certification : 201 · Référence consultée le · Objectifs abordés : 201 4.01.
  • Certification : F5CAB3 · Référence consultée le · Objectifs abordés : F5CAB3 F5CAB3.01.
  • Certification : F5CABR · Référence consultée le · Objectifs abordés : F5CABR 3.01.
  • Certification : F5CTSLTMR · Référence consultée le · Objectifs abordés : F5CTSLTMR 6.01, F5CTSLTMR 6.02, F5CTSLTMR 6.03, F5CTSLTMR 6.04.

Ce guide concerne BIG-IP sur TMOS. Vérifiez les noms et les options dans la documentation de votre version.

Comprendre en imageClient SSL et Server SSL : deux négociations, deux identités
Client SSL et Server SSL : deux négociations, deux identités Exemple de ré-encryption sur VS Standard HTTPS. BIG-IP présente le certificat du service au client, déchiffre HTTP, puis négocie une autre session TLS avec le membre. Les versions, suites cryptographiques, SNI et contrôles de certificat sont propres à chaque côté. Le profil Server SSL ne garantit pas à lui seul une validation stricte du certificat serveur : configurer explicitement les exigences. La réponse suit les opérations inverses. Hors Proxy SSL et TLS passthrough. TLS TLS Déchiffrer Rechiffrer Réponse : opérations inverses Navigateur Service :app.example:443Vérifie lecertificat reçu VS HTTPS Standard Client SSL + HTTPServer SSL côté membre Serveur HTTPS 203.0.113.20:8443Présente soncertificat Client SSL Certificat + clé du serviceChaîne présentée au navigateurVersion / ciphers côté clientCertificat client si mTLS configuré Server SSL BIG-IP devient client TLSSNI destiné au serveurCA et nom attendu à configurerContrôle serveur selon le profil HTTP accessible sur BIG-IP Inspection / réécriture si activéesLe trafic sur le réseau serveurest rechiffré dans cet exemple Un succès TLS côté client ne valide pas le côté serveur Lire les erreurs et captures du côté concerné : confiance CA, identité attendue, SNI, versions etciphers. Client SSL seul : offload possible vers HTTP. Pas de terminaison TLS : contenu HTTP opaque auproxy.

Exemple de ré-encryption sur VS Standard HTTPS. BIG-IP présente le certificat du service au client, déchiffre HTTP, puis négocie une autre session TLS avec le membre. Les versions, suites cryptographiques, SNI et contrôles de certificat sont propres à chaque côté. Le profil Server SSL ne garantit pas à lui seul une validation stricte du certificat serveur : configurer explicitement les exigences. La réponse suit les opérations inverses. Hors Proxy SSL et TLS passthrough.

Télécharger le schéma en SVG · version claire

Client SSL et Server SSL vus depuis BIG-IP

Client SSL traite le côté client : BIG-IP présente un certificat et termine cet échange TLS. Server SSL traite le côté serveur : BIG-IP établit un échange TLS avec le membre de pool. Les noms décrivent les côtés du proxy, pas le propriétaire des certificats.

Une VIP sur le port 443 ne prouve pas qu’un profil SSL est présent. Le port sert à identifier un service ; les profils déterminent comment BIG-IP traite son contenu.

Sources : F5, About SSL Profiles.

Trois architectures, trois points de contrôle

En passthrough, le TLS reste entre le client et le serveur. En offload, il se termine sur BIG-IP et le côté serveur peut être en HTTP. En ré-encryption, BIG-IP termine le TLS client puis ouvre son propre échange TLS serveur.

Deux échanges TLS successifs ne forment pas une seule session de bout en bout. Les protocoles négociés, certificats et règles d’authentification peuvent différer. Si une application attend le certificat du client original, une ré-encryption classique ne le transmet pas automatiquement comme une preuve TLS au serveur.

Comprendre en imageTrois chemins TLS à ne pas confondre
Trois chemins TLS à ne pas confondre Passthrough conserve TLS entre client et serveur. Offload termine TLS sur BIG-IP et utilise HTTP vers le backend dans cet exemple. La ré-encryption ajoute une nouvelle session TLS vers le backend. Le point d’inspection HTTP dépend du chemin choisi. effet effet effet Identifier les points de terminaison Passthrough Client ↔ serveur en TLS Offload TLS terminé sur BIG-IP Ré-encryption Deux sessions TLS TLS opaque Pas de lecture HTTP ici Backend HTTP Réseau à protéger Backend TLS Server SSL et confiance Passthrough Client SSL: Absent pour la simple traverséeServer SSL: Absent pour la simple traverséeVisibilité HTTP sur BIG-IP: Trafic chiffré noninterprété comme HTTP Offload Client SSL: PrésentServer SSL: Pas de ré-encryptionVisibilité HTTP sur BIG-IP: Possible avec un profilHTTP Ré-encryption Client SSL: PrésentServer SSL: PrésentVisibilité HTTP sur BIG-IP: Possible entre les deuxéchanges TLS avec HTTP

Passthrough conserve TLS entre client et serveur. Offload termine TLS sur BIG-IP et utilise HTTP vers le backend dans cet exemple. La ré-encryption ajoute une nouvelle session TLS vers le backend. Le point d’inspection HTTP dépend du chemin choisi.

Télécharger le schéma en SVG · version claire
Identifier les points de terminaison
ModeClient SSLServer SSLVisibilité HTTP sur BIG-IP
PassthroughAbsent pour la simple traverséeAbsent pour la simple traverséeTrafic chiffré non interprété comme HTTP
OffloadPrésentPas de ré-encryptionPossible avec un profil HTTP
Ré-encryptionPrésentPrésentPossible entre les deux échanges TLS avec HTTP

Sources : F5, ltm profile client-ssl ; F5, ltm profile server-ssl.

Lire une URI ou ajouter un en-tête

Une iRule qui utilise une commande HTTP a besoin du traitement HTTP approprié. Sur HTTPS, il faut rendre HTTP accessible en terminant le TLS client, puis associer le profil HTTP. Le profil TCP seul ne rend pas une URI lisible.

Le SNAT et X-Forwarded-For sont complémentaires : le premier change la source réseau, le second peut transmettre une information HTTP. Ajouter Server SSL ne fournit pas, à lui seul, cet en-tête.

Sources : F5, ltm profile http ; F5, ltm profile client-ssl.

Chiffrer vers le serveur ne suffit pas à l’authentifier

Dans la référence Server SSL v17.0.0, peer-cert-mode est par défaut à ignore. La présence d’un profil Server SSL ne constitue donc pas une preuve de validation du certificat backend.

Définissez explicitement autorités de confiance, validation du pair, nom attendu et comportement sur les certificats invalides selon les options disponibles. Documentez aussi le SNI envoyé au serveur lorsque plusieurs sites partagent sa destination.

Sources : F5, ltm profile server-ssl.

Vérifier les deux côtés

Affichez le VS et les profils personnalisés. Contrôlez certificat, chaîne, ciphers ou cipher group, options de protocole, reprise de session et authentification. Les valeurs du parent font partie de la configuration effective.

Lire les profils TLSShell · commandes de lecture
tmsh list ltm virtual /Common/vs_https all-properties
tmsh list ltm profile client-ssl /Common/clientssl_application all-properties
tmsh list ltm profile server-ssl /Common/serverssl_application all-properties

Sources : F5, ltm profile client-ssl ; F5, ltm profile server-ssl.

Expliquer un échec par son côté

En laboratoire, distinguez une connexion qui échoue avant le handshake client, un échec TLS client, puis un échec TLS backend après acceptation du client. Ces situations peuvent donner des symptômes proches dans le navigateur ; elles ne demandent pas le même correctif.

Sources : Projet OpenSSL, openssl s_client.

Sources et portée

Les dates de consultation et les versions applicables sont précisées pour chaque référence ci-dessous. Les exemples utilisent des noms et adresses de documentation à remplacer. Les commandes de lecture affichent l’existant ; les captures et requêtes de diagnostic sont à limiter au périmètre autorisé.

Retrouver le parcours de lecture F5 LTM

Continuer la série F5

Explorer tous les guides du parcours F5 LTM

Découvrir l’expertise F5 de Samhan

Échange

Besoin d’éclaircir votre architecture F5 ?

Échangeons sur vos flux, vos contraintes de disponibilité et vos services applicatifs.

Parler de votre projet