Configurar F5 BIG-IP

Este documento fornece informações sobre como configurar o perfil de publicação F5 BIG-IP para que seja possível instalar e publicar certificados.

Se o dispositivo F5 BIG-IP não estiver diretamente acessível a partir da Segura® Platform, o perfil publica através do Network Connector configurado no dispositivo.

Requisitos

Um certificado gerado e assinado por uma CA. Mais informações em Como criar uma requisição e Como assinar uma requisição.
Uma credencial cadastrada no Segura® com acesso ao dispositivo F5 BIG-IP. Mais informações em Como configurar uma credencial no Segura®.
Um dispositivo cadastrado no Segura® para o F5 BIG-IP. Mais informações em Como configurar um dispositivo.
Se o dispositivo não estiver diretamente acessível a partir da Segura® Platform, configure um Network Connector no dispositivo antes de criar o perfil. O Network Connector configurado no dispositivo sempre tem precedência sobre um Network Connector global configurado para o ambiente.
Uma conectividade HTTPS no dispositivo, configurada com a porta da API do F5 (por exemplo, 8443). O Segura® se conecta ao F5 por essa porta. Se o dispositivo não tiver conectividade HTTPS, o Segura® usa a conectividade HTTP. Se o dispositivo não tiver nenhuma das duas, a publicação falha com o erro Equipamento sem conectividade HTTP.

Atenção

Depois de salvar o dispositivo, abra-o novamente e confira se a conectividade HTTPS continua listada. Salvar o dispositivo pode remover as conectividades alguns segundos depois.

Configurar o F5 BIG-IP

Para configurar o F5 BIG-IP, veja os passos a seguir:

No Segura®, na barra de navegação, passe o mouse sobre o Menu de produtos e selecione Certificate Manager.
No menu lateral, selecione Publicações > Perfis de publicação.
Clique no botão de ações e selecione F5 BigIP.
Na aba Configurações, preencha os seguintes campos:
1. No campo Nome do perfil *, insira o nome do perfil.
2. No campo Username da credencial, insira o nome da credencial.
3. (Opcional): Marque a opção Utilizar uma credencial cadastrada para acessar todos os dispositivos, e, no campo Credencial de acesso cadastrada do sistema, selecione uma credencial de acesso cadastrada no Segura®.
Clique em Continuar.
Na aba F5 BigIP, preencha os seguintes campos:
1. No campo Nome do certificado, insira o nome base do certificado no F5. Esse campo é necessário para publicar, embora o formulário não o marque como obrigatório.
2. O campo Porta para acesso via SOAP (F5/BigIP) não é usado na publicação. O Segura® se conecta pela porta da conectividade HTTPS do dispositivo, ou da conectividade HTTP se não houver HTTPS.
3. (Opcional) No campo Grupo de sincronização, insira o nome do grupo de dispositivos F5 com o qual sincronizar a configuração após a publicação.
4. (Opcional) Marque Forçar overwrite? para forçar a sincronização da configuração com o grupo de sincronização. Essa opção só tem efeito quando o campo Grupo de sincronização está preenchido.
5. (Opcional) Marque Apagar os perfis existentes no VIP? para remover os perfis SSL existentes no Virtual IP antes de aplicar o novo.
6. Na tabela Partições, adicione as partições do F5 onde as configurações se aplicam. Adicione pelo menos uma partição: a tabela é necessária para publicar, embora o formulário não a marque como obrigatória.
7. Na tabela Perfis SSLClient, adicione os perfis SSL de cliente, que protegem o tráfego entre os clientes e o BIG-IP. Para cada perfil, insira também o Nome completo do Virtual Server (VIP).
8. Na tabela Perfis SSLServer, adicione os perfis SSL de servidor, que protegem o tráfego entre o BIG-IP e os membros do pool. Para cada perfil, insira também o Nome completo do Virtual Server (VIP).
Clique em Continuar.
Na aba Dispositivos, selecione o dispositivo F5 BIG-IP.
1. O dispositivo deve ter sido cadastrado previamente no Segura®.
2. A coluna Network Connector mostra Sim ou Não, dependendo se o dispositivo tem seu próprio agente Network Connector configurado.
Na aba Revisão, verifique todas as informações inseridas anteriormente e clique em Salvar.

Info

O certificado não mantém exatamente o nome inserido em Nome do certificado. No F5, você verá os seguintes nomes:

O certificado é instalado como <nome>_<AAAAMMDD>, em que a data é a data de validade do certificado. Se esse nome já existir, é adicionado um sufixo com 4 caracteres hexadecimais do número de série do certificado: <nome>_<AAAAMMDD>_<serial>.
A cadeia de certificados é instalada como <nome>_chain.
Os perfis SSL passam a usar o novo certificado, e os pares de certificado e chave instalados anteriormente são removidos.

Atenção

Perfis F5 BIG-IP criados pela API não publicam, porque a API grava as partições em um campo que a publicação não lê. Até que isso seja corrigido, crie os perfis F5 BIG-IP pela interface.

Verifique seus resultados

Publique um certificado através do perfil. Se o dispositivo for acessível apenas através do seu Network Connector, a publicação é roteada por esse connector em vez de falhar em uma conexão local. Mais informações em Como publicar um certificado.

Atenção

Se o campo Nome do certificado ou a tabela Partições estiver vazio, a publicação falha com um erro informando que é necessário ao menos definir o nome das partições e do certificado.

Se o dispositivo não tiver conectividade HTTPS nem HTTP, a publicação falha com o erro Equipamento sem conectividade HTTP.

Se a publicação falhar porque o Network Connector do dispositivo está inacessível ou mal configurado, o resultado da operação mostra:

Could not connect to the F5 at <host:port> through the Network Connector <agent> (<URL>): cURL error <code>: <message>. Check that the F5 answers on the HTTP/HTTPS port registered for the device and that it is reachable from the Network Connector agent.

Se a conexão abre mas o WSDL não é baixado, a mensagem exibida é:

Could not download the F5 WSDL from <URL> through the Network Connector <agent> (<host:port>): HTTP <code>

Sem um Network Connector, os mesmos erros aparecem sem os detalhes do Network Connector.