Rubriques Connexes

# SMTP-Proxy : chiffrement TLS

Vous pouvez configurer le proxy SMTP pour utiliser le chiffrement TLS afin de traiter les messages électroniques envoyés depuis un serveur de messagerie client (l'expéditeur) vers votre serveur SMTP (le destinataire). SMTP over TLS est une extension sécurisée du service SMTP qui permet à un serveur SMTP et à un client d'utiliser le chiffrement TLS (sécurité de la couche transport) pour assurer des communications privées et authentifiées sur Internet. Pour SMTP, cela implique généralement l'utilisation des mots-clés STARTTLS. Les paramètres de chiffrement TLS du proxy SMTP présentent deux sections configurables : situations lors desquelles le chiffrement doit être utilisé (canal expéditeur ou destinataire) et mode de chiffrement du trafic (protocole SSL ou TLS et type de certificat). Vous pouvez utiliser ces paramètres pour spécifier les paramètres de chiffrement du trafic entrant (e-mail de l'expéditeur), du trafic émanant de votre serveur SMTP (le destinataire), ou les deux.

Afin que le proxy SMTP utilise le chiffrement TLS, vous devez activer l'Inspection de Contenu avec TLS dans l'action de proxy SMTP. Pour plus d'informations, voir Configurer les Paramètres de Chiffrement TLS.

## À propos du chiffrement TLS

SSLv3, SSLv2 et TLSv1 sont des protocoles utilisés pour les connexions SMTP chiffrées. Le protocole SSLv2 n'est pas aussi sécurisé que les protocoles SSLv3 et TLSv1. Lorsque vous activez le chiffrement TLS, par défaut, le proxy SMTP ne permet que des connexions pouvant négocier le protocole TLSv1. Vous pouvez néanmoins autoriser le proxy SMTP à utiliser les protocoles SSLv3 et SSLv2 pour les connexions entrantes et sortantes des clients ou serveurs SMTP qui en ont besoin.

## A Propos des Certificats de Chiffrement TLS

La fonction TLS SMTP utilise le certificat Serveur Proxy. Le certificat Serveur Proxy est utilisé lors de l'inspection du trafic entrant (HTTPS ou SMTP).

Pour plus d'informations, voir À propos des certificats.

## À propos des options OCSP

Vous pouvez également choisir d'utiliser ou non le protocole OCSP (protocole de vérification en ligne de l'état du certificat) pour valider les certificats. Si vous activez cette option, votre Firebox utilise automatiquement OCSP pour vérifier les révocations de certificat. Lorsque cette fonctionnalité est activée, le Firebox utilise les informations du certificat pour contacter un serveur OCSP enregistrant une trace de l'état du certificat. Si le serveur OCSP répond que le certificat a été révoqué, le Firebox désactivera le certificat. Ce processus peut engendrer un retard de quelques secondes, le temps que le Firebox demande une réponse au serveur OCSP. Afin d'optimiser les performances pour les hôtes fréquemment contactés, le Firebox conserve entre 300 et 3 000 réponses OCSP en mémoire cache. Le nombre de réponses stockées dans le cache est déterminé par le modèle de votre Firebox.

Lorsque vous utilisez le protocole OCSP pour valider les certificats, vous avez également la possibilité de spécifier si les certificats qui ne peuvent pas être validés sont considérés comme valides. Si vous indiquez que les certificats non validés sont valides, et si un répondant OCSP n'envoie pas de réponse concernant une demande d'état de révocation, le Firebox considère que le certificat d'origine est révoqué ou non valide. Cette option peut entrainer un certificat à être considéré comme invalide s'il existe une erreur de routage ou un problème avec votre connexion de réseau.

## A Propos de Perfect Forward Secrecy

Les paramètres de chiffrement Perfect Forward Secrecy (PFS) contrôlent le type de chiffrements TLS que le Firebox négocie lors de l'établissement d'une liaison TLS. Vous pouvez contrôler PFS séparément pour le chiffrement TLS du client et du serveur. Fireware prend en charge uniquement les chiffrements ECDHE (Elliptic Curve Ephemeral Diffie-Hellman) pour PFS.

Afin de contrôler le mode d'utilisation des chiffrements compatibles PFS du Firebox, choisissez l'une des options suivantes :

- Aucun — Le Firebox n'annonce pas et ne sélectionne pas les chiffrements compatibles PFS.
- Autorisé — Le Firebox annonce et sélectionne les chiffrements compatibles et non compatibles PFS.
- Requis — Le Firebox annonce et sélectionne uniquement les chiffrements compatibles PFS.

Les paramètres de chiffrement PFS que vous sélectionnez s'appliquent à tous les canaux qui utilisent STARTTLS, comme indiqué dans les Règles de Chiffrement.

Les chiffrements Perfect Forward exigent des ressources significatives et peuvent nuire aux performances système des périphériques Firebox T10, T30, T50, XTM 25, XTM 26 et XTM 33. Dans Fireware v11.12.1, il est impossible d'activer les chiffrements PFS sur ces modèles.

Le nom du chiffrement des sessions TLS client/serveur figure dans les messages de journal des requêtes SMTP générés par le Firebox. Pour de plus amples informations concernant les messages de journal, consultez Types de messages de journal.

## À propos des règles de chiffrement

Après avoir activé le chiffrement TLS pour votre action de proxy SMTP, vous ajoutez des règles pour indiquer les domaines de l'expéditeur et du destinataire, ainsi que les informations de chiffrement requises pour chacun des domaines. Lorsque vous ajoutez des règles à la liste Règles de chiffrement, ces dernières sont évaluées dans l'ordre, de la première à la dernière règle figurant dans la liste. Veillez à mettre vos règles dans l'ordre qui offre le plus de souplesse. Par exemple, si vous avez plusieurs domaines pour le serveur SMTP, mettez la règle pour votre serveur SMTP principal en début de liste, et les règles pour les serveurs SMTP de secours plus bas dans la liste.

Lorsque vous ajoutez des règles de chiffrement, vous pouvez créer des règles pour des domaines de l'expéditeur et du destinataire spécifiques. Vous avez également la possibilité d'utiliser un caractère générique (*) pour créer une règle globale, s'appliquant au domaine de l'expéditeur comme à celui du destinataire. Vous pouvez spécifier les règles de chiffrement pour le canal de l'expéditeur, pour le canal du destinataire, ou pour les deux. Cela vous permet de définir différentes règles de chiffrement pour des domaines spécifiques qui envoient des e-mails vers votre serveur SMTP. Chaque règle de chiffrement ne doit pas dépasser 200 octets.

Chiffrement de l'expéditeur

- Requis — Le serveur SMTP de l'expéditeur doit négocier le chiffrement avec le Firebox.
- Aucun — Le Firebox ne négocie pas de chiffrement avec les serveurs SMTP de l'expéditeur.
- Facultatif — Le serveur SMTP de l'expéditeur peut négocier le chiffrement avec le serveur SMTP du destinataire. Le chiffrement TLS dépend des possibilités de chiffrement et des paramètres du serveur SMTP du destinataire.

Chiffrement du destinataire

- Requis — Le Firebox doit négocier le chiffrement avec le serveur SMTP du destinataire.
- Aucun — Le Firebox ne négocie pas de chiffrement avec le serveur SMTP du destinataire.
- Préféré — Le Firebox tente de négocier le chiffrement avec le serveur SMTP du destinataire.
- Autorisé — Le Firebox utilise le comportement du serveur SMTP de l'expéditeur pour négocier le chiffrement avec le serveur SMTP du destinataire.

Si vous ne souhaitez pas ajouter de règles pour plusieurs domaines, vous pouvez définir le Chiffrement de l'expéditeur sur Facultatif, le Chiffrement du destinataire sur Préféré, et utiliser le caractère générique (*) pour les informations relatives au domaine. Avec ces paramètres de chiffrement, la plupart des e-mails sont envoyés en toute sécurité vers votre serveur SMTP.

Si vos utilisateurs se connectent à votre réseau via une connexion Internet publique, WatchGuard vous recommande de sélectionner Requis pour le paramètre Chiffrement de l'Expéditeur. Si votre serveur SMTP ne prend pas en charge le chiffrement, WatchGuard vous recommande de sélectionner Facultatif afin que les e-mails non chiffrés puissent être acceptés.

Si vos utilisateurs envoient des e-mails vers votre serveur SMTP via le réseau intranet protégé de votre société, vous disposez d'une plus grande souplesse en définissant Chiffrement de l'expéditeur sur Facultatif et Chiffrement du destinataire sur Aucun.

Si vous ajoutez une règle qui nécessite en permanence que le trafic d'un domaine de l'expéditeur soit chiffré, vous pouvez également indiquer qu'un protocole TLS doit être utilisé pour le destinataire, pour l'expéditeur et pour les informations du corps de l'e-mail.

## Configurer les Paramètres de Chiffrement TLS

Lors de la création d'un nouveau fichier de configuration, vous devez activer l'Inspection de Contenu avec TLS dans l'action de proxy SMTP avant de configurer les paramètres de chiffrement TLS. Si votre fichier de configuration a déjà activé l'Inspection de Contenu avec TLS, il vous suffit d'effectuer la configuration des paramètres de chiffrement TLS.

Pour activer le chiffrement TLS et configurer les règles d'une action de proxy SMTP, procédez comme suit :

1. Dans les paramètres de l'action de proxy SMTP, sélectionnez ESMTP > Chiffrement TLS.

1. Cochez la case Activer l'Inspection de Contenu avec TLS.
2. Pour autoriser l'utilisation du protocole SSLv3 lors de l'inspection de contenu avec TLS, cochez la case Autoriser SSLv3. Astuce !Vous pouvez activer SSLv3 pour prendre en charge les anciens serveurs de messagerie.
3. (Facultatif) Cochez la case Utiliser le protocole OCSP pour valider les certificats.
4. Pour préciser la manière dont les certificats qui ne peuvent pas être validés doivent être traités, cochez la case Si un certificat ne peut pas être validé, il est considéré non valide.
5. Pour ajouter des règles de chiffrement, dans la section Règles, cliquez sur Ajouter.
   Une nouvelle règle de chiffrement apparaît dans la liste Règles de chiffrement.
6. Dans la zone de texte Vers le domaine du destinataire, saisissez le nom de domaine pour votre serveur SMTP et appuyez sur la touche Entrée de votre clavier.
7. Pour préciser le domaine depuis lequel le trafic du client peut provenir, double-cliquez sur la valeur par défaut * dans la colonne A Partir du Domaine de l'Expéditeur, saisissez une nouvelle valeur dans la zone de texte puis appuyez sur la touche Entrée.
   Pour autoriser le trafic provenant de n'importe quel domaine, conservez la valeur par défaut *.
8. Pour modifier l'option Chiffrement du Destinataire, cliquez sur le paramètre par défaut Préféré puis sélectionnez une option dans la liste déroulante :
   - Requis
   - Aucun
   - Préféré
   - Autorisé
9. Pour modifier l'option Chiffrement de l'Expéditeur, cliquez sur le paramètre par défaut Eventuellement Chiffré puis sélectionnez une option dans la liste déroulante :
   - Requis
   - Aucun
   - Facultatif
10. Pour modifier l'ordre d'application des règles, sélectionnez une règle dans la liste Règles de chiffrement et cliquez sur Haut ou sur Bas.
11. Pour désactiver une règle figurant dans la liste, décochez la case Activé pour cette règle.
12. Pour supprimer une règle figurant dans la liste, cliquez sur Supprimer.
13. Pour que le protocole TLS soit utilisé pour le trafic de l'expéditeur chiffré, cochez la case Lorsque le chiffrement de l'expéditeur est requis, TLS doit être utilisé pour l'expéditeur, le destinataire et les informations du corps du message.
    Cette option est proposée uniquement si vous configurez une règle avec le paramètre Chiffrement de l'expéditeur défini sur Toujours chiffré.
    Pour plus d'informations sur les règles d'action de proxy, voir Ajouter, modifier ou supprimer des règles.
14. Pour modifier les paramètres d'une autre catégorie dans cette action de proxy, reportez-vous à la rubrique dédiée à cette catégorie.
15. Enregistrez la configuration.

Si vous avez modifié une action de proxy prédéfinie, vous devrez cloner (copier) vos paramètres sur une nouvelle action au moment d'enregistrer les modifications.

Pour plus d'informations sur les actions de proxy prédéfinies, voir À propos des actions de proxy.

#### Voir aussi

À propos du proxy SMTP

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique