La configuración SSL/TLS en dispositivos Palo Alto Networks es fundamental para asegurar las comunicaciones cifradas entre clientes y servidores, garantizando confidencialidad e integridad en el tráfico de red. Esta configuración permite que el firewall inspeccione, controle y aplique políticas de seguridad en sesiones seguras, dado que el tráfico encriptado no puede ser analizado sin una correcta terminación o inspección TLS.
Campos principales
- Certificado (Certificate): Define el certificado digital utilizado para la terminación de la sesión SSL, ya sea para servidores internos o inspección de tráfico saliente. Es esencial que el certificado sea válido y confiable para evitar alertas en clientes.
- Clave privada (Private Key): Corresponde a la clave criptográfica privada emparejada con el certificado, necesaria para establecer la conexión TLS de manera segura.
- Versión TLS (TLS Version): Permite seleccionar las versiones de protocolo TLS habilitadas (por ejemplo, TLS 1.2, TLS 1.3). Es recomendable deshabilitar versiones inseguras como SSL 3.0 o TLS 1.0 para evitar vulnerabilidades.
- Cipher Suites: Listado de conjuntos criptográficos permitidos en la negociación. Se aconseja usar suites con encriptación fuerte y evitar aquellas que usan algoritmos obsoletos o inseguros.
- Renegociación (Renegotiation): Controla el comportamiento de las renegociaciones TLS, importante para proteger contra ataques tipo DoS o inyección de comandos durante la sesión.
- Inspección SSL (SSL Forward Proxy): Habilita la función mediante la cual el firewall actúa como intermediario para analizar contenido cifrado, con generación o uso de certificados intermedios confiables para el cliente final.
Compatibilidad de versiones y modelos
Las funcionalidades avanzadas de configuración y terminación SSL/TLS están soportadas a partir de versiones PAN-OS 8.0 en la mayoría de los modelos Palo Alto Networks. Modelos de la serie PA-220, PA-820 y superiores cuentan con hardware y firmware compatibles para inspección SSL con un buen balance de rendimiento.
Limítese la configuración en dispositivos antiguos o de bajo rendimiento para evitar sobrecarga que afecte la latencia y procesamiento del tráfico cifrado. En particular, la inspección de TLS 1.3 puede requerir versiones PAN-OS recientes (10.0 o superiores) y dispositivos con aceleradores criptográficos.
Escenarios de uso y recomendaciones
Este tipo de configuración es crítica en ambientes empresariales donde se requiere visibilidad total del tráfico para prevenir intrusiones y exfiltraciones de datos, especialmente en conexiones web HTTPS y aplicaciones SaaS. Permite aplicar políticas basadas en contenido aunque esté cifrado.
Un riesgo común es la configuración incorrecta del certificado raíz usado para la inspección, lo que puede provocar alertas de seguridad en usuarios y bloqueos de aplicaciones. Además, permitir versiones antiguas de TLS o suites débiles abre la puerta a ataques MITM y vulnerabilidades conocidas.
Se recomienda limitar la inspección sólo al tráfico necesario, y utilizar bypass para aplicaciones sensibles que puedan romperse al ser inspeccionadas.
Comandos de CLI útiles para diagnóstico
show ssl-decrypt certificate all: Muestra los certificados configurados para la inspección SSL.show running ssl-decrypt: Muestra la configuración activa de SSL Forward Proxy y TLS.debug log ssl-decrypt: Permite obtener registros detallados para identificar errores en la terminación o inspección de tráfico TLS.test ssl-decrypt certificate verify: Verifica la validez y confianza de un certificado específico.show system environmentals: Ayuda a monitorear el rendimiento relacionado con la carga de inspección SSL.
Buenas prácticas de configuración
- Actualice a la última versión estable de PAN-OS compatible con su hardware para obtener mejoras en TLS 1.3 y cifrados seguros.
- Utilice certificados emitidos por una autoridad certificadora confiable, y mantenga la cadena de certificación actualizada.
- Configure exclusivamente TLS 1.2 y TLS 1.3, deshabilitando versiones y algoritmos inseguros.
- Limite el uso de la inspección SSL a segmentos de red o aplicaciones donde realmente se necesite control exhaustivo.
- Implemente certificados intermediarios para SSL Forward Proxy que permitan confianza total y eviten alertas en clientes.
- Monitoree logs y análisis de tráfico para detectar anomalías relacionadas con TLS y certificados.
- Realice pruebas de impacto antes de desplegar la inspección SSL en producción para evitar problemas con aplicaciones sensibles.