Проверка TLS (SSL) на устройствах с ChromeOS

Проверка TLS, также называемая проверкой SSL, – это мера безопасности, которая позволяет использовать веб-фильтры сторонних разработчиков для обнаружения сетевых атак.

Совет. Настройте проверку TLS как можно раньше, чтобы у пользователей не возникло проблем с посещением сайтов.

Подготовка

Прежде чем приступать к настройке, прочтите информацию ниже.

• Вам потребуется TLS- или SSL-сертификат. Чтобы получить его, обратитесь к поставщику веб-фильтра. Сертификаты, закодированные по правилам DER, не поддерживаются. На устройствах с ChromeOS допустим только формат PEM. Популярными поставщиками веб-фильтров являются Zscaler (для устройств с ChromeOS) и Barracuda (для Chromebook).
• Интернет-трафик должен передаваться на веб-фильтр через прокси-сервер. Прозрачные прокси-серверы не поддерживаются. При необходимости вы можете внести в белый список адрес *.google.com, чтобы избежать перехвата запросов с сайтов этого домена. Однако такая конфигурация официально не поддерживается. Подробнее…
• Пока SNI (Server Name Indication) не поддерживается, но соответствующий запрос уже создан.
• Если включена проверка TLS, пользователям недоступен множественный вход.

Прозрачные прокси-серверы

Общие сведения

Прозрачный прокси-сервер распознает URL запроса, сверяясь с TLS- или SSL-сертификатом. В большинстве случаев доменное имя, связанное с сертификатом TLS (общее имя), совпадает с запрошенным URL-адресом. Прокси-сервер сравнивает общее имя с белым списком URL, а затем разрешает или запрещает передачу данных. В то же время многие крупные организации приобретают сертификаты TLS с подстановочным знаком и надежным общим именем. Например, мы используем *.google.com в качестве общего имени для многих URL-адресов, необходимых для работы устройств с ChromeOS.

Пример сведений о сертификате:

Для работы прозрачного прокси-сервера разрешите передачу данных на адреса *.google.com, добавив это общее имя в белый список URL. Такая конфигурация не соответствует действующим принципам безопасности Chrome, поэтому пользоваться прозрачным прокси-сервером не рекомендуется.