SSL ルールを設定するときは、次の点に注意してください。SSL ルールを適切に設定するのは複雑なタスクですが、暗号化トラフィックを処理する有効な導入には不可欠のタスクです。ルールをどのように設定するかには、制御できない特定のアプリケーションの動作を含む、多くの要素が影響します。

さらに、ルールが互いをプリエンプトしたり、追加ライセンスが必要になったりすることがあります。また、ルールに無効な設定が含まれる可能性もあります。慎重に設定された SSL ルールは、ネットワーク トラフィックの処理に必要なリソースの軽減にも寄与します。過度に複雑なルールを作成し、ルールを誤って順序付けすると、パフォーマンスに悪影響を与える可能性があります。詳細については、ルールのパフォーマンスに関するガイドラインを参照してください。

SSL ピニング

一部のアプリケーションでは、アプリケーション自体に元のサーバ証明書のフィンガープリントを埋め込む、SSL ピニングまたは証明書ピニングと呼ばれる技術が使用されます。そのため、[復号 - 再署名（Decrypt - Resign）] アクションで SSL ルールを設定した場合は、アプリケーションが管理対象デバイスから再署名された証明書を受信すると、検証が失敗し、接続が中断されます。

SSL ピニングは中間者攻撃を避けるために使用されるため、防止または回避する方法はありません。次の選択肢があります。

• そのアプリケーション用に、[復号-再署名（Decrypt - Resign）] ルールよりも順序が前の、[復号しない（Do Not Decrypt）] ルールを作成します。

• Web ブラウザを使用してアプリケーションにアクセスするようユーザに指示します。

ルールの順序の詳細については、SSL ルールの順序を参照してください。

アプリケーションが SSL ピニングを使用しているかどうかを判断するには、SSL ピニングのトラブルシューティングを参照してください。

SSL ハートビート

一部のアプリケーションでは、RFC6520 で定義されている Transport Layer Security（TLS）および Datagram Transport Layer Security（DTLS）プロトコルに対して、SSL ハートビート エクステンションが使用されます。SSL ハートビートは、接続がまだ有効であることを確認する方法を提供します。クライアントまたはサーバが指定されたバイト数のデータを送信し、応答を返すように相手に要求します。これが成功した場合は、暗号化されたデータが送信されます。

SSL ハードウェア アクセラレーションが有効になっている管理対象デバイスが SSL ハートビート エクステンションを使用するパケットを扱うときは、管理対象デバイスは SSL ポリシーの [復号できないアクション（Undecryptable Actions）] の [復号化エラー（Decryption Errors）] の設定で指定されたアクションを行います。

• ブロック（Block）

• リセットしてブロック（Block with reset）

アプリケーションが SSL ハートビートを使用しているかどうかを判断するには、SSL ハートビートのトラブルシューティングを参照してください。

管理対象デバイスが SSL ハードウェア アクセラレーションをサポートしていない場合、または SSL ハードウェア アクセラレーションが無効になっている場合は、ネットワーク分析ポリシー（NAP）で [ハートビートの最大長（Max Heartbeat Length）] を設定して SSL ハートビートの処理方法を決定できます。詳細については、SSL プリプロセッサを参照してください。

SSL オーバーサブスクリプション

SSL オーバーサブスクリプションとは、管理対象デバイスが SSL トラフィックにより過負荷になっている状態です。すべての管理対象デバイスで SSL オーバーサブスクリプションが発生する可能性がありますが、SSL ハードウェア アクセラレーションをサポートする管理対象デバイスでのみ処理方法を設定できます。

SSL ハードウェア アクセラレーションが有効になっている管理対象デバイスがオーバーサブスクライブされた場合、管理対象デバイスによって受信されるパケットの扱いは、SSL ポリシーの [復号できないアクション（Undecryptable Actions）] の [ハンドシェイクエラー（Handshake Errors）] の設定に従います。

• デフォルト アクションを継承する（Inherit default action）

• 復号しない（Do not decrypt）

• ブロック（Block）

• リセットしてブロック（Block with reset）

SSL ポリシーの [復号できないアクション（Undecryptable Actions）] の [ハンドシェイクエラー（Handshake Errors）] の設定が [復号しない（Do not decrypt）] で、関連付けられたアクセス コントロール ポリシーがトラフィックを検査するように設定されている場合は、インスペクションが行われます。復号は行われません。

大量のオーバーサブスクリプションが発生している場合は、次のオプションがあります。

• 管理対象デバイスをアップグレードして、SSL の処理能力を向上させます。

• SSL ポリシーを変更して、復号の優先順位が高くないトラフィック用に [復号しない（Do Not Decrypt）] ルールを追加します。

連邦情報処理標準（FIPS）と SSL ハードウェア アクセラレーション

SSL ハードウェア アクセラレーションと連邦情報処理標準（FIPS）が両方とも有効になっている場合は、次のオプションの接続が失敗します。

• サイズが 2048 バイト未満の RSA キー サイズ

• Rivest 暗号 4（RC4）

• 単一データ暗号化（単一 DES）

• Merkle–Damgard 5（MD5）

• SSL v3

セキュリティ認定準拠モードで動作するように Firepower Management Center と管理対象デバイスを設定すると、FIPS が有効になります。このモードで動作しているときに接続を許可するには、SSL ハードウェア アクセラレーションを無効にするか、よりセキュアなオプションを採用するように Web ブラウザを設定します。

詳細については、次を参照してください。

• SSL ハードウェア アクセラレーションの有効化または無効化：SSL ハードウェア アクセラレーション。

• FIPS でサポートされている暗号方式：SSL 設定について。

• セキュリティ認定準拠のモード.

• コモン クライテリア。

ユーザとグループ

ルールにグループまたはユーザを追加した後、そのグループまたはユーザを除外するようにレルムの設定を変更すると、ルールは適用されなくなります。（レルムを無効にする場合も同様です。）レルムの詳細については、レルムの作成を参照してください。

SSL ハードウェア アクセラレーションによる HTTP 専用のパフォーマンス

トラフィックを復号しない管理対象デバイスで SSL ハードウェア アクセラレーションを有効にすると、パフォーマンスが低下します。（つまり、少なくとも 1 つの [復号 - 再署名（Decrypt - Resign）] ルールで SSL ポリシーがアクティブです。）SSL トラフィックを復号するデバイスでのみ、SSL ハードウェア アクセラレーションを有効にすることをお勧めします。

ゾーン条件とパッシブ インターフェイス

[復号 - 再署名（Decrypt-Resign）] ルールを作成し、後でパッシブ インターフェイスでセキュリティ ゾーンを条件として追加した場合、ルールの横に警告アイコンが表示されます。パッシブ展開では証明書の再署名によるトラフィックの復号はできないので、パッシブ インターフェイスをルールから削除するか、またはルール アクションを変更するまで、このルールには効果がありません。

SSL ルールのカテゴリ

SSL ポリシーに [復号-再署名（Decrypt - Resign）] アクションがあるにもかかわらず Web サイトが復号されない場合は、そのポリシーに関連付けられているルールの [カテゴリ（Category）] タブ ページを確認します。

場合によっては、認証などの目的で Web サイトが別のサイトにリダイレクトされ、リダイレクト先のサイトの URL カテゴリが復号を試みているサイトとは異なることがあります。たとえば、gmail.com（[Webベース電子メール（Web based email）] カテゴリ）は認証のために accounts.gmail.com（[インターネットポータル（Internet Portals）] カテゴリ）にリダイレクトされます。関連するすべてのカテゴリを必ず SSL ルールに含めます。

ローカル データベースにない URL のクエリ

[復号-再署名（Decrypt - Resign）] ルールを作成し、ローカル データベースにカテゴリとレピュテーションがない Web サイトをユーザが参照すると、データが復号されないことがあります。一部の Web サイトはローカル データベースで分類されません。分類されない場合、その Web サイトのデータはデフォルトでは復号されません。

[システム（System）] > [統合（Integration）] > [Cisco CSI] 設定を使用し、[不明URLをCisco CSIに問い合わせる（Query Cisco CSI for Unknown URLs）] チェック ボックスをオンにすることで、この動作を制御できます。

このオプションの詳細については、集合型セキュリティ インテリジェンス通信の設定を参照してください。