Configurer des protocoles de sécurité et des suites de chiffrement pour Blast Secure Gateway (BSG)

Vous pouvez configurer les protocoles de sécurité et les suites de chiffrement que l'écouteur côté client de BSG accepte en modifiant le fichier absg.properties.

Note : Les paramètres de sécurité du Serveur de connexion ne s'appliquent pas à BSG. Vous devez configurer la sécurité pour BSG séparément.

Les protocoles pris en charge sont les suivants :

Version commerciale	Protocoles pris en charge	Paramètres par défaut
VMware Horizon 8 version 2312 et versions ultérieures	TLS 1.1, TLS 1.2 et TLS 1.3 Note : TLS 1.1 n'est pas pris en charge en mode FIPS.	En mode non-FIPS, TLS 1.2 et TLS 1.3 sont activés. En mode FIPS, TLS 1.2 est activé.
VMware Horizon 8 version 2309 et versions antérieures	TLS 1.0, TLS 1.1 et TLS 1.2	TLS 1.2 est activé.

Les anciens protocoles, tels que SSLv3 et versions antérieures, ne sont jamais autorisés.

Deux propriétés, localHttpsProtocolLow et localHttpsProtocolHigh, déterminent la plage de protocoles que l'écouteur BSG acceptera. Par exemple, la définition de localHttpsProtocolLow=tls1.1 et de localHttpsProtocolHigh=tls1.3 configure l'écouteur pour qu'il accepte TLS 1.1, TLS 1.2 et TLS 1.3. Vous pouvez examiner le fichier absg.log de BSG pour détecter les valeurs en vigueur pour une instance de BSG spécifique.

Vous devez spécifier la liste de chiffrements en utilisant le format défini dans OpenSSL. Vous pouvez rechercher openssl cipher string dans un navigateur Web et déterminer le format de la liste de chiffrement. Les listes de chiffrement par défaut sont les suivantes :

Protocole	Liste de chiffrements par défaut
TLS 1.1 et TLS 1.2	ECDHE+AESGCM
TLS 1.3	TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384

Note : En mode FIPS, seules les suites de chiffrement GCM sont activées ( ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256).

Procédure

1. Sur l'instance du Serveur de connexion, modifiez le fichier install_directory\VMware\VMware View\Server\appblastgateway\absg.properties.
   Par défaut, le répertoire installé est %ProgramFiles%.
2. Modifiez les propriétés localHttpsProtocolLow et localHttpsProtocolHigh pour spécifier une plage de protocoles.
   Par exemple,

   localHttpsProtocolLow=tls1.1
   localHttpsProtocolHigh=tls1.3

   Pour activer un seul protocole, spécifiez le même protocole pour localHttpsProtocolLow et localHttpsProtocolHigh.

3. Modifiez la propriété localHttpsCipherSpec pour spécifier une liste de suites de chiffrement.
   Par exemple,

   localHttpsCipherSpec=!aNULL:kECDH+AESGCM:ECDH+AESGCM:kECDH+AES:ECDH+AES

4. Redémarrez VMware Horizon Blast Secure Gateway du service Windows.