Configura la mTLS del backend

En esta página, se proporcionan instrucciones para configurar mTLS de backend con certificados administrados por el cliente para balanceadores de cargas de aplicaciones externos globales.

Los pasos para configurar la mTLS del backend son similares a los de la TLS autenticada del backend, excepto que también debes crear un certificado para el balanceador de cargas. Este certificado, también conocido como el certificado de cliente, se adjunta al recurso de configuración de autenticación del backend. El balanceador de cargas usa este certificado de cliente para autenticarse en los backends.

Para configurar la mTLS de backend, debes hacer lo siguiente:

• Crea un recurso de configuración de confianza que conste de certificados raíz e intermedios.
• Crea un certificado de cliente y súbelo al Administrador de certificados.
• Crea un recurso de configuración de autenticación de backend que haga referencia a la configuración de confianza y al certificado del cliente.
• Adjunta el recurso de configuración de autenticación de backend al servicio de backend del balanceador de cargas.

Antes de comenzar

• Revisa la descripción general de la TLS con autenticación de backend y de la mTLS de backend.
• Consulta Cómo administrar configuraciones de confianza.

• Si quieres seguir las instrucciones de esta guía con Google Cloud CLI, debes instalarlo. Encontrarás comandos relacionados con el balanceo de cargas en las referencias de la API y gcloud CLI gcloud.

  Si no ejecutaste la CLI de gcloud antes, ejecuta primero el comando gcloud init para autenticarte.

• Habilita las siguientes APIs: API de Compute Engine, API de Certificate Manager, seguridad de red y API de Network Services. Para obtener más información, consulta Habilita las APIs.

• Configura un balanceador de cargas de aplicaciones externo global con cualquiera de los siguientes backends compatibles:

  • Backends de grupos de instancias de VM
  • NEG de conectividad híbrida
  • NEG zonales

Permisos

Descripción general de la configuración

En las siguientes secciones, se describen los pasos para configurar la mTLS del backend según la arquitectura que se muestra en el siguiente diagrama:

Crea los certificados raíz y intermedios

En esta sección, se usa la biblioteca OpenSSL para crear el certificado raíz (anclaje de confianza) y el certificado intermedio.

Un certificado raíz se encuentra en la parte superior de la cadena de certificados. Un certificado intermedio es parte de la cadena de confianza que se remonta al certificado raíz. El certificado intermedio está firmado criptográficamente por el certificado raíz. Cuando el balanceador de cargas recibe un certificado de servidor, lo valida estableciendo una cadena de confianza desde el certificado del servidor hasta el ancla de confianza configurada.

Usa los siguientes comandos para crear los certificados raíz e intermedios.

1. Crea un archivo de configuración de OpenSSL.

   En el siguiente ejemplo, el archivo de configuración (example.cnf) contiene la sección [ca_exts], que especifica las extensiones X.509 que marcan el certificado como adecuado para una AC. Para obtener más información sobre los requisitos de los certificados raíz y intermedios, consulta Requisitos de los certificados.

   cat > example.cnf << EOF
   [req]
   distinguished_name = empty_distinguished_name
   
   [empty_distinguished_name]
   # Kept empty to allow setting via -subj command-line argument.
   
   [ca_exts]
   basicConstraints=critical,CA:TRUE
   keyUsage=keyCertSign
   extendedKeyUsage=serverAuth
   
   EOF
   

2. Crea un certificado raíz X.509 autofirmado (root.cert). El certificado raíz se autofirma con su propia clave privada (root.key).

   openssl req -x509 \
       -new -sha256 -newkey rsa:2048 -nodes \
       -days 3650 -subj '/CN=root' \
       -config example.cnf \
       -extensions ca_exts \
       -keyout root.key -out root.cert
   

3. Crea la solicitud de firma de certificado (CSR) int.req para el certificado intermedio.

   openssl req -new \
       -sha256 -newkey rsa:2048 -nodes \
       -subj '/CN=int' \
       -config example.cnf \
       -extensions ca_exts \
       -keyout int.key -out int.req
   

4. Firma la CSR para crear el certificado intermedio X.509 (int.cert). La CSR se firma con el certificado raíz.

   openssl x509 -req \
       -CAkey root.key -CA root.cert \
       -set_serial 1 \
       -days 3650 \
       -extfile example.cnf \
       -extensions ca_exts \
       -in int.req -out int.cert
   

Da formato a los certificados

Para incluir certificados nuevos o existentes en un almacén de confianza, debes dar formato a los certificados en una sola línea y almacenarlos en variables de entorno para que el archivo YAML de configuración de confianza pueda hacer referencia a ellos.

export ROOT_CERT=$(cat root.cert | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')

export INTERMEDIATE_CERT=$(cat int.cert | sed 's/^[ ]*//g' | tr '\n' $ | sed 's/\$/\\n/g')

Crea un recurso de configuración de confianza

Una configuración de confianza es un recurso que representa la configuración de tu infraestructura de clave pública (PKI) en el Administrador de certificados.

Para crear un recurso de configuración de confianza, completa los siguientes pasos:

Crear un certificado de cliente

En mTLS de backend, el balanceador de cargas actúa como el cliente y el backend actúa como el servidor.

Para habilitar las mTLS del backend, el balanceador de cargas debe demostrar su identidad al backend. Esta autenticación se realiza con un certificado de cliente que el balanceador de cargas presenta al backend. El servidor de backend debe validar el certificado del cliente con su propia cadena de confianza.

Cuando se conecta a un servidor de backend, el balanceador de cargas establece la indicación de nombre del servidor (SNI) en el nombre de host especificado en la configuración de TLS. El servidor de backend selecciona el certificado SSL/TLS adecuado según este valor de SNI. El balanceador de cargas espera que el valor de SNI coincida con un nombre alternativo del sujeto (SAN) que se indica en el certificado del servidor de backend.

Los certificados de cliente pueden ser certificados administrados de una AC privada a través del servicio de AC o certificados de PKI privados autoadministrados. En este ejemplo, el certificado del cliente se emite con certificados autoadministrados. En esta sección, se usa la biblioteca OpenSSL para crear el certificado de la AC raíz y el certificado de cliente.

Para crear un certificado de cliente, completa los siguientes pasos:

1. Crea un archivo de configuración de OpenSSL.

   En el siguiente ejemplo, el archivo de configuración (example.cnf) contiene la sección [ca_exts], que especifica las extensiones X.509 que marcan el certificado como adecuado para una AC. El atributo extendedKeyUsage se establece en clientAuth. Para obtener más información sobre los requisitos de los certificados raíz y intermedios, consulta Requisitos de los certificados.

     cat > example.cnf << EOF
     [req]
     distinguished_name = empty_distinguished_name
   
     [empty_distinguished_name]
     # Kept empty to allow setting via -subj command-line argument.
   
     [ca_exts]
     basicConstraints=critical,CA:TRUE
     keyUsage=keyCertSign
     extendedKeyUsage=clientAuth
   
     EOF
   

2. Crea un certificado de AC raíz X.509 autofirmado (root.cert). El certificado raíz se autofirma con su propia clave privada (root.key).

     openssl req -x509 \
         -new -sha256 -newkey rsa:2048 -nodes \
         -days 3650 -subj '/CN=root' \
         -config example.cnf \
         -extensions ca_exts \
         -keyout root.key -out root.cert
   

3. Crea un archivo de configuración para generar la CSR del certificado del cliente.

   El siguiente archivo de configuración (client.config) contiene la sección [extension_requirements], que especifica las extensiones X.509 que se incluirán en la CSR. Para obtener más información sobre los requisitos de los certificados de cliente, consulta Requisitos de los certificados.

     cat > client.config << EOF
     [req]
     default_bits              = 2048
     req_extensions            = extension_requirements
     distinguished_name        = dn_requirements
     prompt                    = no
   
     [extension_requirements]
     basicConstraints          = critical, CA:FALSE
     keyUsage                  = critical, nonRepudiation, digitalSignature, keyEncipherment
     extendedKeyUsage          = clientAuth
   
     [dn_requirements]
     countryName               = US
     stateOrProvinceName       = California
     localityName              = San Francisco
     0.organizationName        = example
     organizationalUnitName    = test
     commonName                = test.example.com
     emailAddress              = test@example.com
   
     EOF
   

4. Crea la CSR (client.csr) para el certificado de cliente.

     openssl req -new \
         -config client.config \
         -keyout client.key -out client.csr
   

5. Crea el certificado de cliente (client.cert) a partir de la CSR. El certificado de la AC raíz firma la CSR para emitir el certificado de cliente X.509.

     openssl x509 -req \
         -CAkey root.key -CA root.cert \
         -days 365 \
         -extfile client.config \
         -extensions extension_requirements \
         -in client.csr -out client.cert
   

Sube el certificado de cliente al Administrador de certificados

Para subir el certificado de cliente al Administrador de certificados, completa los siguientes pasos:

Crea un recurso de configuración de autenticación de backend

Para crear un recurso de configuración de autenticación de backend (BackendAuthenticationConfig), completa los siguientes pasos.

Adjunta el recurso de configuración de autenticación de backend al servicio de backend del balanceador de cargas

Para adjuntar el recurso de configuración de autenticación de backend (BackendAuthenticationConfig) al servicio de backend del balanceador de cargas, completa los siguientes pasos.

Crea un certificado de servidor de backend

En esta sección, se proporciona una opción de configuración adicional para crear un certificado de servidor (hoja) firmado por el certificado intermedio, que es parte de la configuración de confianza. Esto garantiza que se pueda establecer una cadena de confianza desde el certificado del servidor hasta el ancla de confianza.

Si ya creaste un recurso de configuración de confianza que contiene un certificado intermedio, haz lo siguiente:

1. Crea un archivo de configuración para generar la CSR del certificado del servidor.

   El siguiente archivo de configuración (server.config) contiene la sección [extension_requirements], que especifica las extensiones X.509 que se incluirán en la CSR. Para obtener más información sobre los requisitos de los certificados de servidor, consulta Requisitos de los certificados.

   cat > server.config << EOF
   [req]
   default_bits              = 2048
   req_extensions            = extension_requirements
   distinguished_name        = dn_requirements
   prompt                    = no
   
   [extension_requirements]
   basicConstraints          = critical, CA:FALSE
   keyUsage                  = critical, nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage          = serverAuth
   subjectAltName            = @alt_names
   
   [alt_names]
   DNS.1 = examplepetstore.com
   DNS.2 = api.examplepetstore.com
   
   [dn_requirements]
   countryName               = US
   stateOrProvinceName       = California
   localityName              = San Francisco
   0.organizationName        = example
   organizationalUnitName    = test
   commonName                = examplepetstore.com
   emailAddress              = test@examplepetstore.com
   
   EOF
   

2. Crea la CSR (server.csr) para el certificado del servidor.

   openssl req -new \
       -sha256 -newkey rsa:2048 -nodes \
       -config server.config \
       -keyout server.key -out server.csr
   

3. Firma la CSR para emitir el certificado de servidor X.509 (server.cert). El certificado intermedio firma la CSR.

   openssl x509 -req \
       -CAkey int.key -CA int.cert \
       -days 365 \
       -extfile server.config \
       -extensions extension_requirements \
       -in server.csr -out server.cert
   

   Cuando el balanceador de cargas se conecta al servidor de backend, este presenta su certificado (server.cert) para autenticarse en el balanceador de cargas y completar el proceso de autenticación de backend.

Opciones de configuración de SSL adicionales en un servidor web Apache

1. Copia la clave privada (server.key) y el certificado (server.cert) del servidor en el servidor web de Apache.

       cat > server.key << EOF
       -----BEGIN PRIVATE KEY-----
       [...]
       -----END PRIVATE KEY-----
       EOF
   
       sudo cp ./server.key /etc/ssl/private/server.key
       

   Reemplaza [...] por la clave privada del servidor con codificación PEM que creaste antes.

       cat > server.cert << EOF
       -----BEGIN CERTIFICATE-----
       [...]
       -----END CERTIFICATE-----
       EOF
   
       sudo cp ./server.cert /etc/ssl/certs/server.cert
       

   Reemplaza [...] por el certificado de servidor codificado en PEM que creaste antes.

2. Sube el certificado de cliente a la configuración de confianza del servidor para validar el certificado de cliente.

         cat > client.cert << EOF
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
         EOF
   
         sudo cp ./client.cert /etc/ssl/certs/client.cert
         

   Reemplaza [...] por el certificado de cliente codificado en PEM que creaste antes.

3. Actualiza la configuración de SSL del servidor web Apache.

   Actualiza la configuración de SSL de Apache para habilitar el tráfico HTTPS con el certificado SSL y la clave privada especificados.

       sudo vi /etc/apache2/sites-available/default-ssl.conf
   
       ----
       SSLCertificateFile      /etc/ssl/certs/server.cert
       SSLCertificateKeyFile /etc/ssl/private/server.key
       ----
       

   Actualiza la configuración de SSL de Apache para que requiera autenticación de certificados de cliente y especifica el certificado de la AC para la validación.

       sudo vi /etc/apache2/sites-available/default-ssl.conf
   
       ----
       SSLVerifyClient require
       SSLVerifyDepth 5
       SSLCACertificateFile /etc/ssl/certs/client.cert
       ----
       

4. Vuelve a generar un hash de los certificados de la AC.

       sudo c_rehash /etc/ssl/certs/
       

5. Reinicia el servidor web Apache para aplicar los cambios.

       sudo systemctl restart apache2.service
       

¿Qué sigue?

• Descripción general de mTLS
• Cómo configurar mTLS con una AC privada