有没有办法在 GCE HTTPS 负载均衡器中至少禁用 TLS 1.0？

Question

我正在尝试通过 Trustwave pci DSS 扫描，但我不能，因为它在“支持 TLSv1.0”中失败，我认为问题出在 GCE HTTPS 负载均衡器中，它默认启用 TLSv 1.0、1.1 和 1.2（https:/ /cloud.google.com/compute/docs/load-balancing/http/#tls_support）。我已经使用 openssl 和 cipherscan ( https://github.com/jvehent/cipherscan ) 在本地测试了我的实例，在任何一个中我都只能使用 TLSv1.2 密码获得连接。我尝试使用 GCE HTTS 负载均衡器的公共 ip 使用相同的工具，我可以使用 TLSv1、TLSv1.1、TLSv1.2 进行连接。

Answer 1

对于任何在这方面绊倒的人；现在可以定义可应用于target-https-proxiesGCE HTTPS 负载均衡器创建的 SSL 策略。

以下命令允许创建一个策略，据我所知，该策略将满足 OP 问题中提到的 Trustwave pci DSS 扫描的要求。

$ gcloud beta compute ssl-policies create pci_dss_ssl_policy \
  --profile MODERN --min-tls-version 1.2

列出现有target-https-proxies的：

$ gcloud beta compute target-https-proxies list

将创建的策略应用于给定target-https-proxies的：

$ gcloud beta compute target-https-proxies update \
  NAME_OF_HTTPS_TARGET --ssl-policy pci_dss_ssl_policy

为了进一步参考，ssl-policies是您的朋友。例如，如果您想使用自定义密码列表进一步限制策略。