06HSM(하드웨어 보안 모듈)HSM(하드웨어 보안 모듈)

Check Point Security Gateway가 HSM을 쓸 때, HSM은 오직 Outbound HTTPS Inspection을 위한 객체만 보관합니다. 구체적으로는 다음 두 가지입니다.

즉, HTTPS 검사에 쓰는 핵심 SSL 키를 게이트웨이 대신 HSM이 안전하게 보관·제공 하는 것이 요지입니다(HTTPS Inspection 참고).

Check Point Security Gateway와 함께 쓸 수 있는 HSM 솔루션은 두 가지입니다.

이 절은 벤더에 상관없이 공통으로 적용되는 HSM 환경 구성의 일반 흐름을 다룹니다. 벤더별 세부 명령은 뒤의 Gemalto·FutureX 절 에서 이 흐름 위에 얹혀 설명됩니다.

게이트웨이를 HSM과 연동하는 일반 워크플로

HSM과 연동할 Security Gateway / Cluster Member / Scalable Platform Security Group 에서 아래 단계를 따릅니다.

1/3단계 — HSM Server 없이 HTTPS Inspection 먼저 동작시키기

2단계의 세부 절차는 다음과 같습니다.

vi $FWDIR/conf/hsm_configuration.C

:enabled ("no")

asg_cp2blades $FWDIR/conf/hsm_configuration.C

3단계에서 서비스를 재시작합니다.

cprestart

4단계 동작 확인은 내부 컴퓨터에서 아무 HTTPS 사이트에 접속 했을 때, 브라우저가 게이트웨이 / Cluster가 서명한 CA 인증서 를 받으면 정상입니다.

2/3단계 — HSM 벤더가 제공하는 PKCS#11 라이브러리 설치·구성

3/3단계 — Outbound HTTPS Inspection이 HSM Server를 쓰도록 구성

이 단계에서 알아둘 점이 몇 가지 있습니다.

구성 단계:

3단계 백업 명령:

# 게이트웨이 / 각 Cluster Member
cp -v $FWDIR/conf/hsm_configuration.C{,_BKP}

# Scalable Platform Security Group
g_cp -v $FWDIR/conf/hsm_configuration.C{,_BKP}

4단계 편집:

vi $FWDIR/conf/hsm_configuration.C

5단계에서 구성하는 속성:

(:enabled ("no") # "yes" / "no"
:hsm_vendor_name ("")
:lib_filename ("")
:CA_cert_public_key_handle (0)
:CA_cert_private_key_handle (0)
:CA_cert_buffer_handle (0)
:token_id ("")
)

각 속성의 뜻은 다음과 같습니다.

예:

(:enabled ("yes")
:hsm_vendor_name ("FutureX HSM")
:lib_filename ("libfxpkcs11.so")
:CA_cert_public_key_handle (2)
:CA_cert_private_key_handle (1)
:CA_cert_buffer_handle (3)
:token_id ("safest")
)

6단계(Security Group) 복사:

asg_cp2blades $FWDIR/conf/hsm_configuration.C

7단계 재시작:

cprestart

8단계 확인:

# 게이트웨이 / 각 Cluster Member
cpstat https_inspection -f all

# Scalable Platform Security Group
g_all cpstat https_inspection -f all

출력에 반드시 다음이 나와야 합니다.

HSM partition access (Accessible/Not Accessible): Accessible
Outbound status (HSM on/HSM off/HSM error): HSM on

자세한 내용은 CLI로 HSM HTTPS Inspection 모니터링을 참고하세요. 마지막으로 내부 컴퓨터에서 HTTPS 사이트에 접속했을 때 브라우저가 HSM Server에서 서명한 CA 인증서 를 받으면 Outbound HTTPS Inspection이 성공적으로 활성화된 것입니다.

HSM Client 워크스테이션 구성 워크플로

HSM Client 워크스테이션 은 HSM 벤더의 HSM Client 소프트웨어를 설치하는 외부 컴퓨터 입니다. 벤더 요구에 따라 Windows·Linux·기타 운영체제에서 실행할 수 있습니다. 이 워크스테이션으로 하는 일은 두 가지입니다.

이 워크플로로 Check Point Security Gateway / ClusterXL / Scalable Platform Security Group을 Gemalto HSM Server 와 연동합니다.

1/5단계 — Gemalto Help 패키지 풀기

Gemalto 환경은 Gemalto 구성 문서를 보며 설정합니다.

2/5단계 — Gemalto HSM Server를 Check Point와 연동하도록 구성

Gemalto Help 문서를 보며 Gemalto HSM Server를 설치·구성합니다.

4단계 세부 절차:

lunash:> partition showPolicies -partition <Partition Name>
lunash:> partition changePolicy -partition <Partition Name> -policy 22 -value 1
lunash:> partition changePolicy -partition <Partition Name> -policy 23 -value 1
lunash:> partition showPolicies -partition <Partition Name>

lunash:> ntls ipcheck disable

3/5단계 — Gemalto HSM Client 워크스테이션 구성

Gemalto HSM Client 워크스테이션으로 Gemalto HSM Server에 CA 인증서를 만듭니다. Check Point 게이트웨이 / ClusterXL / Security Group은 HTTPS Inspection에서 SSL 키를 저장·접근할 때 이 CA 인증서를 씁니다.

lunacm:> clientconfig deploy -c <IP Address of HSM Client Workstation> -n <IP Address of HSM Server> -par <Partition Name> -pw <Partition Password>

4/5단계 — Gemalto HSM Server에 CA 인증서 만들기

2단계 키 쌍 생성 예:

# cd /usr/safenet/lunaclient/bin
# ./cmu generatekeypair -modulusBits=2048 -publicExponent=65537 -labelPublic="CAPublicKeyPairLabel" -labelPrivate="CAPrivateKeyPairLabel" -sign=T -verify=T

3단계 암호 프롬프트 예:

Enter a password for the token in slot 0:

4단계 RSA 메커니즘 선택:

[1] PKCS [2] FIPS 186-3 Only Primes [3] FIPS 186-3 Auxiliary Primes

5단계 핸들 조회:

# ./cmu list

출력 예:

Enter password for token in slot 0 : <Password for the Partition>
handle=17      label=CAPrivateKeyPairLabel
handle=18      label=CAPublicKeyPairLabel

6단계 CA 인증서 생성 예:

# ./cmu selfsigncertificate -privatehandle=17 CN="www.gemltoHSM.cp" -sha256WithRSA -startDate 20190720 -endDate 20240720 -serialNum=111aaa -keyusage digitalsignature,keycertsign,crlsign -basicconstraints=critical,ca:true

7단계 핸들 다시 조회:

# ./cmu list

출력 예:

Enter password for token in slot 0 : <Password for the Partition>
handle=13     label=www.myhsm.cp
handle=17     label=CAPrivateKeyPairLabel
handle=18     label=CAPublicKeyPairLabel

8단계 내보내기:

# ./cmu export -handle=<Handle Number> -outputfile=<Name of Output File>

5/5단계 — 게이트웨이를 Gemalto HSM Server와 연동하도록 구성

이 단계는 세 개의 하위 단계로 나뉩니다.

하위 단계 5-A: Gemalto HSM Server 없이 HTTPS Inspection 동작시키기

2단계 세부는 1/3단계의 절차와 같습니다 — 명령줄 접속 → Expert mode → vi $FWDIR/conf/hsm_configuration.C → :enabled ("no") → 저장; Security Group이면 asg_cp2blades $FWDIR/conf/hsm_configuration.C 로 복사.

하위 단계 5-B: 게이트웨이 / ClusterXL / Security Group에 Gemalto HSM Simplified Client 소프트웨어 설치

게이트웨이 / ClusterXL 절차:

3단계 복사:

cp -v /usr/safenet/lunaclient/lib/libCryptoki2.so /usr/lib/hsm_client/

4단계 Trust Link(LunaCM):

lunacm:> clientconfig deploy -c <IP Address of Security Gateway or Cluster Member> -n <IP Address of HSM Server> -par <Partition Name> -pw <Partition Password>

5단계 파티션 접근 점검:

# /usr/safenet/lunaclient/bin/vtl verify

Scalable Platform Security Group 절차:

2단계 디렉터리 생성:

g_all mkdir -v /var/log/HSM_Client/

5단계 압축 풀기:

g_all cd /var/log/HSM_Client/
g_all tar -xvf <Name of Gemalto HSM Client Package>.tar

6단계 설치:

g_all rpm -Uvh /var/log/HSM_Client/configurator-6.2.2-4.i386.rpm
g_all rpm -Uvh /var/log/HSM_Client/libcryptoki-6.2.2-4.i386.rpm
g_all rpm -Uvh /var/log/HSM_Client/vtl-6.2.2-4.i386.rpm

7단계 Trust Link(LunaCM):

lunacm:> clientconfig deploy -c <IP Address of Security Group> -n <IP Address of HSM Server> -par <Partition Name> -pw <Partition Password>

8단계 파티션 접근 점검:

# /usr/safenet/lunaclient/bin/vtl verify

하위 단계 5-C: 게이트웨이 / ClusterXL / Security Group이 Gemalto HSM Server를 쓰도록 HTTPS Inspection 구성

3단계 백업:

# 게이트웨이 / 각 Cluster Member
cp -v $FWDIR/conf/hsm_configuration.C{,_BKP}

# Scalable Platform Security Group
g_cp -v $FWDIR/conf/hsm_configuration.C{,_BKP}

4단계 편집:

vi $FWDIR/conf/hsm_configuration.C

5단계 구성:

:enabled ("yes")
:hsm_vendor_name ("Luna Gemalto HSM")
:lib_filename ("libCryptoki2.so")
:CA_cert_public_key_handle (<Number of "Public" Handle for CA certificate>)
:CA_cert_private_key_handle (<Number of "Private" Handle for CA certificate>)
:CA_cert_buffer_handle (<Number of Handle for CA certificate>)
:token_id ("<Password for Partition on Gemalto HSM Server>")
)

각 속성:

예:

:enabled ("yes")
:hsm_vendor_name ("Gemalto HSM")
:lib_filename ("libCryptoki2.so")
:CA_cert_public_key_handle (17)
:CA_cert_private_key_handle (18)
:CA_cert_buffer_handle (13)
:token_id ("p@ssw0rd")
)

6단계 — 구성 적용 방식은 :hsm_vendor_name () 값을 어떻게 다뤘는지에 따라 갈립니다.

# 게이트웨이 / 각 Cluster Member
cprestart

# Scalable Platform Security Group
g_all cprestart

# 게이트웨이 / 각 Cluster Member
fw fetch local

# Scalable Platform Security Group
g_fw fetch local

7단계 확인:

# 게이트웨이 / 각 Cluster Member
cpstat https_inspection -f all

# Scalable Platform Security Group
g_all cpstat https_inspection -f all

출력에 다음이 나와야 합니다.

HSM partition access (Accessible/Not Accessible): Accessible
Outbound status (HSM on/HSM off/HSM error): HSM on

자세한 내용은 CLI로 HSM HTTPS Inspection 모니터링 참고. 8단계로 내부 컴퓨터에서 HTTPS 사이트에 접속해 브라우저가 HSM Server에서 서명한 CA 인증서 를 받으면 성공입니다.

Gemalto HSM Server를 위한 추가 작업

HSM Server와의 Trust Link 삭제

Check Point 게이트웨이와 HSM Server 사이에 새 Trust Link를 맺으려면, 현재 Trust Link를 먼저 삭제해야 합니다.

1단계 세부:

# 게이트웨이 / 각 Cluster Member
cd /usr/safenet/lunaclient/bin/

# Scalable Platform Security Group
g_all cd /usr/safenet/lunaclient/bin/

# 게이트웨이 / 각 Cluster Member
./vtl deleteServer -n <IP Address of HSM Server>

# Scalable Platform Security Group
g_all ./vtl deleteServer -n <IP Address of HSM Server>

2단계 세부:

lunash:> client list

lunash:> client delete -client <Name of HSM Client>

NTLS용 두 번째 인터페이스를 Gemalto HSM Appliance에 구성

2단계:

lunash:> network show

3단계:

lunash:> network interface -device <Name of Interface> -ip <IP Address> -netmask <NetMask> [-gateway <IP Address>]

이 워크플로로 Check Point Security Gateway / ClusterXL / Scalable Platform Security Group을 FutureX HSM Server 와 연동합니다.

준비물(Prerequisites)

FutureX 소프트웨어 패키지

FutureX 벤더가 아래 패키지를 모두 제공합니다.

FutureX 인증서

FutureX HSM Client 워크스테이션과 FutureX HSM Server 사이의 신뢰(trust)를 위한 FutureX 인증서.

구성 단계

1/3단계 — FutureX HSM Client 워크스테이션 구성

FutureX HSM Client 워크스테이션으로 ① FutureX HSM Server에 CA 인증서를 만들고(게이트웨이가 HTTPS Inspection에서 SSL 키를 저장·접근할 때 씀), ② 게이트웨이가 만든 가짜 인증서용 키를 관리합니다.

워크스테이션이 돌 수 있는 운영체제(자세한 건 FutureX 벤더에 문의): Windows(FutureX 포털에서 "FXTools" 패키지 다운로드·설치), Red Hat Linux, Ubuntu Linux, Debian Linux, macOS.

2단계 — 운영체제별 PKCS#11 Library 패키지:

3단계 — 압축 풀기 주의:

5단계 세부:

# Ubuntu·Debian Linux
sudo apt-get install openssl

# Red Hat Linux
sudo yum install openssl

6단계 — PKCS#11 Library 테스트:

# Linux OS
export VARIABLE=VALUE
export FXPKCS11_CFG=/home/user/fxpkcs11.cfg

# Windows OS
set VARIABLE=VALUE
set FXPKCS11_CFG=C:\Users\Futurex\Desktop\fxpkcs11.cfg

7단계 — 자세한 PKCS#11 구성 정보는 FutureX 포털에 로그인해 DEVELOPER DOCUMENTATION > GENERAL PURPOSE > General Purpose Technical Reference > PKCS #11 Technical Reference 로 갑니다.

8단계 — 운영체제별 CLI Utility 패키지:

9단계 — CLI Utility 압축 풀기 주의:

10단계 — <Client Certificate>(Client 인증서)와 <CA Certificate>(CA 인증서)를 <CLI Dir> 로 옮깁니다.

11단계 — 연결 수립:

fxcli-hsm

tls pki -f <Client Certificate> -p safest
tls ca -f <CA Certificate>
connect tcp -c <IP Address of URL of HSM Server>:<Port on HSM Server>
login user -u <Username> -p <Password (default is "safest")>
exit

12단계 — FutureX HSM Server에 저장된 키·인증서를 관리하는 도구:

2/3단계 — FutureX HSM Server에 CA 인증서 만들기

3단계 키 쌍 생성:

generate -a rsa -b 2048 --slot <Slot or Label of CA Certificate> --name <Name of CA Certificate Private Key File> --tpk-slot <Slot or Label of CA Certificate Public Key> --tpk-name <Name of CA Certificate Public Key File> -u sign,verify

예:

generate -a RSA -b 2048 --slot 0 --name CAPrivateKey --tpk-slot 1 --tpk-name CAPublicKey -u sign,verify

4단계 CA 인증서 생성:

x509 sign --private-slot <Slot or Label of Private Key> --dn "<Distinguished Name of CA Certificate>" --ca 1 --key-usage DigitalSignature --key-usage CrlSign --key-usage KeyCertSign --save-slot <Slot to Save the CA Certificate> --save-name <Label of CA Certificate File> -o <Full Path and Name of CA Certificate File>.cer --validity-period '<Period>'

예:

x509 sign --private-slot 0 --dn "CN=www.futurexhsm.cp" --ca 1 --key-usage DigitalSignature --key-usage KeyCertSign --key-usage CrlSign --save-slot 2 --save-name CACert -o Z:\FutureXhsm.cer --validity-period '5 years'

5단계 슬롯 목록:

keytable list
keytable reload

6단계 핸들 적어 두기 — 예:

CAPublicKey (1)
CAPrivateKey (2)
CACert (3)

3/3단계 — 게이트웨이를 FutureX HSM Server와 연동하도록 구성

이 단계는 네 개의 하위 단계로 나뉩니다.

하위 단계 3-A: FutureX HSM Server 없이 HTTPS Inspection 동작시키기

2단계 세부는 앞과 동일합니다 — 명령줄 접속 → Expert mode → vi $FWDIR/conf/hsm_configuration.C → :enabled ("no") → 저장; Security Group이면 asg_cp2blades $FWDIR/conf/hsm_configuration.C 로 복사.

하위 단계 3-B: 게이트웨이 / Cluster Member / Security Group에 필요한 소프트웨어 설치

1단계 세부:

asg_cp2blades /usr/lib/hsm_client/libfxpkcs11.so
asg_cp2blades /usr/lib/hsm_client/configTest

2단계 세부:

asg_cp2blades /usr/lib/hsm_client/fxpkcs11.cfg

하위 단계 3-C: 게이트웨이 / Cluster Member / Security Group과 FutureX HSM Server 사이 연결 구성

Check Point 게이트웨이(HSM 클라이언트)와 FutureX HSM Server 사이의 TLS 인증을 위해 인증서 파일을 만들어야 합니다. 인증서를 만드는 방법은 세 가지입니다.

1단계(Security Group) 복사:

asg_cp2blades /usr/futurex/<Name of Certificate File>

4단계 백업:

# 게이트웨이 / 각 Cluster Member
cp -v /etc/fxpkcs11.cfg{,_BKP}

# Scalable Platform Security Group
g_cp -v /etc/fxpkcs11.cfg{,_BKP}

5단계 편집:

vi /etc/fxpkcs11.cfg

6단계 — 구성할 속성 값:

8단계(Security Group) 복사:

asg_cp2blades /etc/fxpkcs11.cfg

9단계 심볼릭 링크:

# 게이트웨이 / 각 Cluster Member
ln -s /var/log/fxpkcs11.log /tmp/fxpkcs11.log

# Scalable Platform Security Group
g_all ln -s /var/log/fxpkcs11.log /tmp/fxpkcs11.log

하위 단계 3-D: 게이트웨이가 FutureX HSM Server를 쓰도록 HTTPS Inspection 구성

3단계 백업:

# 게이트웨이 / 각 Cluster Member
cp -v $FWDIR/conf/hsm_configuration.C{,_BKP}

# Scalable Platform Security Group
g_cp -v $FWDIR/conf/hsm_configuration.C{,_BKP}

4단계 편집:

vi $FWDIR/conf/hsm_configuration.C

5단계 구성:

:enabled ("yes")
:hsm_vendor_name ("FutureX HSM")
:lib_filename ("")
:CA_cert_public_key_handle (<Number of "CAPublicKey" Handle for CA certificate>)
:CA_cert_private_key_handle (<Number of "CAPrivateKey" Handle for CA certificate>)
:CA_cert_buffer_handle (<Number of "CACert" Handle for CA certificate>)
:token_id ("<Password for Partition on FutureX HSM Server>")
)

각 속성:

예:

(:enabled ("yes")
:hsm_vendor_name ("FutureX HSM")
:lib_filename ("")
:CA_cert_public_key_handle (1)
:CA_cert_private_key_handle (2)
:CA_cert_buffer_handle (3)
:token_id ("p@ssw0rd")
)

6단계 — 구성 적용:

# 게이트웨이 / 각 Cluster Member
cprestart

# Scalable Platform Security Group
g_all cprestart

# 게이트웨이 / 각 Cluster Member
fw fetch local

# Scalable Platform Security Group
g_fw fetch local

7단계 확인:

# 게이트웨이 / 각 Cluster Member
cpstat https_inspection -f all

# Scalable Platform Security Group
g_all cpstat https_inspection -f all

출력에 다음이 나와야 합니다.

HSM partition access (Accessible/Not Accessible): Accessible
Outbound status (HSM on/HSM off/HSM error): HSM on

자세한 내용은 CLI로 HSM HTTPS Inspection 모니터링 참고. 8단계로 내부 컴퓨터에서 HTTPS 사이트에 접속해 브라우저가 HSM Server에서 서명한 CA 인증서를 받으면 성공입니다.

예를 들어 HSM Server를 점검(maintenance) 할 때, 게이트웨이 / Cluster Member / Security Group에서 HSM Server로 가는 통신을 끌 수 있습니다.

3단계 편집:

vi $FWDIR/conf/hsm_configuration.C

4단계 설정:

:enabled ("no")

6단계(Security Group) 복사:

asg_cp2blades $FWDIR/conf/hsm_configuration.C

7단계 재시작:

cprestart

HTTPS Inspection 데몬 wstlsd 가 게이트웨이 / Cluster Member / Security Group에서 초기화될 때, 해당 장비가 HSM Server와 연동되도록 구성되었는지 확인합니다. 상태를 보는 방법은 세 가지입니다.

SmartConsole 로그로 HSM HTTPS Inspection 모니터링

SmartConsole에서 Gemalto HSM Server 관련 HTTPS Inspection 로그를 보려면:

나올 수 있는 로그는 다음과 같습니다.

HSM is disabled 의 경우 Outbound HTTPS Inspection은 HSM Server 없이 동작하고, SSL 키는 게이트웨이 / Cluster Member / Security Group에 저장 됩니다.

HSM error 일 때 나올 수 있는 문자열:

HSM configuration file is corrupted
Loading HSM library failed
There is no trust or no connectivity with HSM server
Login to HSM partition failed
Error importing CA certificate from HSM server
Error generating key pair on HSM server

예:

SNMP로 HSM HTTPS Inspection 모니터링

게이트웨이 / Cluster Member / Security Group에서 HTTPS Inspection 상태와 HSM Server 연결 상태를 SNMP로 조회할 수 있습니다.

조회할 수 있는 SNMP 객체와 반환 값은 다음과 같습니다.

상태 값의 의미를 좀 더 풀어 보면 다음과 같습니다.

outboundStatus / 파티션 접근의 가능한 오류 메시지:

HSM configuration file is corrupted
Loading HSM library failed
There is no trust or no connectivity with HSM server
Login to HSM partition failed
Error importing CA certificate from HSM server
Error generating key pair on HSM server

SNMP 조회 예:

# snmpwalk -m $CPDIR/lib/snmp/chkpnt.mib -On -v 2c -c public localhost 1.3.6.1.4.1.2620.1.54
.1.3.6.1.4.1.2620.1.54.1.0 = STRING: On
.1.3.6.1.4.1.2620.1.54.2.0 = STRING: HTTPS Inspection is on
.1.3.6.1.4.1.2620.1.54.3.1.0 = STRING: Enabled
.1.3.6.1.4.1.2620.1.54.3.2.0 = STRING: HSM is enabled for HTTPS inspection with Gemalto HSM
.1.3.6.1.4.1.2620.1.54.3.3.0 = STRING: Accessible
.1.3.6.1.4.1.2620.1.54.3.4.0 = STRING: Gateway can access HSM partition for HTTPS inspection
.1.3.6.1.4.1.2620.1.54.3.5.0 = STRING: HSM on
.1.3.6.1.4.1.2620.1.54.3.6.0 = STRING: Outbound HTTPS inspection works with HSM

# snmpwalk -m $CPDIR/lib/snmp/chkpnt.mib -Oa -v 2c -c public localhost 1.3.6.1.4.1.2620.1.54
CHECKPOINT-MIB::httpsInspectionStatus.0 = STRING: On
CHECKPOINT-MIB::httpsInspectionStatusDescription.0 = STRING: HTTPS Inspection is on
CHECKPOINT-MIB::hsmEnabled.0 = STRING: Enabled
CHECKPOINT-MIB::hsmEnabledDescription.0 = STRING: HSM is enabled for HTTPS inspection with Gemalto HSM
CHECKPOINT-MIB::hsmPartitionAccess.0 = STRING: Accessible
CHECKPOINT-MIB::hsmPartitionAccessDescription.0 = STRING: Gateway can access HSM partition for HTTPS inspection
CHECKPOINT-MIB::outboundStatus.0 = STRING: HSM on
CHECKPOINT-MIB::outboundStatusDescription.0 = STRING: Outbound HTTPS inspection works with HSM

CLI로 HSM HTTPS Inspection 모니터링

게이트웨이 / Cluster Member / Security Group에서 cpstat https_inspection 명령으로 HTTPS Inspection 상태와 HSM Server 연결 상태를 봅니다.

구문:

# 게이트웨이 / 각 Cluster Member
cpstat -h
cpstat https_inspection -f {default | hsm_status | all}

# Scalable Platform Security Group
cpstat -h
g_all cpstat https_inspection -f {default | hsm_status | all}

출력 예:

[Expert@GW:0]# cpstat https_inspection -f default
HTTPS inspection status (On/Off):
On
HTTPS inspection status description: HTTPS Inspection is on
[Expert@GW:0]#
[Expert@GW:0]# cpstat https_inspection -f hsm_status
HSM enabled (Enabled/Disabled):
Enabled
HSM enabled description:
HSM is enabled for HTTPS inspection with
Gemalto HSM
HSM partition access (Accessible/Not Accessible): Accessible
HSM partition access description:
Gateway can access to HSM partition for
HTTPS inspection
Outbound status (HSM on/HSM off/HSM error):
HSM on
Outbound status description:
Outbound HTTPS inspection works with HSM
[Expert@GW:0]#
[Expert@GW:0]# cpstat https_inspection -f all
HTTPS inspection status (On/Off):
On
HTTPS inspection status description:
HTTPS Inspection is on
HSM enabled (Enabled/Disabled):
Enabled
HSM enabled description:
HSM is enabled for HTTPS inspection with
Gemalto HSM
HSM partition access (Accessible/Not Accessible): Accessible
HSM partition access description:
Gateway can access to HSM partition for
HTTPS inspection
Outbound status (HSM on/HSM off/HSM error):
HSM on
Outbound status description:
Outbound HTTPS inspection works with HSM
[Expert@GW:0]#

각 출력 항목의 의미는 다음과 같습니다.

상태 값의 의미는 SNMP 절과 같습니다.

파티션 접근 / Outbound 상태의 가능한 오류 메시지:

HSM configuration file is corrupted
Loading HSM library failed
There is no trust or no connectivity with HSM server
Login to HSM partition failed
Error importing CA certificate from HSM server
Error generating key pair on HSM server