在 iOS 9 和更高版本中，Apple 规定了最低安全设置以符合其应用程序传输安全性 (App Transport Security, ATS) 标准。要通过 NSX Advanced Load Balancer 为应用程序代理启用该级别的 SSL 安全性，请将以下设置用于 SSL/TLS 证书和 SSL/TLS 配置文件。

证书

必须由公开信任的证书颁发机构（包含在操作系统中）颁发证书，或者在客户端设备中安装了 CA 的根证书。

  • RSA 2k 或更高

  • ECC 256 或更高

颁发者必须使用 SHA-256 或更高版本创建证书。

SSL/TLS 版本

仅支持 TLS 1.2。请停用早期版本的 SSL/TLS。

密码支持

所有启用的密码必须支持 PFS。请从“密码”列表视图中停用以下密码以外的所有密码。如果仅使用 EC 或 RSA 证书，您可以启用兼容的密码。如果同时使用 EC 和 RSA 证书（最佳做法），请将所有以下密码保持启用状态。

ECC 密码

  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384

  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256

  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA

RSA 密码

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA