思科ASA 5510 w/ AIP SSM -它能检查SSL流量吗？

Question

Cisco5510ASA中的AIP模块是否可以解密和检查SSL通信量？

我已经询问了我的本地供应商(谁放置了我所说的设备)，他们说AIP模块无法检查加密的内容。我经常使用web应用程序防火墙，因此我熟悉在设备上安装web证书的能力，从而使它能够查看SSL通信。这在ASA /a IPS模块上是不可能的吗？

Answer 1

对，是这样。ASA不执行SSL终端(超出WebVPN和AnyConnect VPN所需的)，因此无法提供解密数据流供AIP检查。您需要在ASA前面放置可以执行SSL终止的其他位置，如前面提到的Web应用程序防火墙。一些负载平衡产品(如思科、CSM)也能做到这一点。