תודה על המשוב.
תמיכה בפרוקסי לאבטחת נתונים היברידית ורשת וידאו
משוב?סעיף זה מתאר את תכונת התמיכה בפרוקסי עבור אבטחת נתונים היברידית. הוא נועד להשלים את מדריך הפריסה לאבטחת נתונים Cisco Webex היברידיים, הזמין בכתובת https://www.cisco.com/go/hybrid-data-security. בפריסה חדשה, אתה מגדיר את הגדרת ה- proxy בכל צומת לאחר העלאה והרכבה של תצורת ה- HDS ISO בצומת, ולפני רישום הצומת בע Cisco Webex נן.
אבטחת נתונים היברידית תומכת בפרוקסי בדיקה מפורשים ושקופים ובלתי בודקים. אתה יכול לקשור פרוקסי אלה לפריסה שלך כדי שתוכל לאבטח ולנטר תנועה מהארגון אל הענן. ניתן להשתמש בממשק ניהול פלטפורמה בצמתים לניהול אישורים ולבדיקת מצב הקישוריות הכולל לאחר הגדרת ה- proxy בצמתים.
הצמתים של אבטחת נתונים היברידיים תומכים באפשרויות ה- proxy הבאות:
-
ללא פרוק סי — ברירת המחדל אם לא תשתמש בתצורה של הגדרת צומת HDS Trust Store & Proxy לשילוב פרוקסי. אין צורך בעדכון אישור.
-
פרוקסי שקוף שאינו בודק — הצמתים אינם מוגדרים לשימוש בכתובת שרת proxy ספציפית ואין לדרוש שינויים כלשהם כדי לעבוד עם פרוקסי שאינו בודק. אין צורך בעדכון אישור.
-
מנהור שקוף או פרוקסי בדיקה — הצמתים אינם מוגדרים לשימוש בכתובת שרת proxy ספציפית. אין צורך בשינויי תצורת HTTP או HTTPS בצמתים. עם זאת, הצמתים זקוקים לאישור שורש כדי שהם סומכים על ה- proxy. פרוקסי בדיקה משמשים בדרך כלל על ידי ה- IT כדי לאכוף מדיניות באילו אתרים ניתן לבקר ואילו סוגי תוכן אינם מורשים. סוג זה של פרוקסי מפענח את כל התנועה שלך (אפילו HTTPS).
-
פרוקסי מפור ש - עם פרוקסי מפורש, אתה אומר לצמתים של HDS באיזה שרת proxy וסכימת אימות להשתמש. כדי להגדיר פרוקסי מפורש, עליך להכניס את המידע הבא בכל צומת:
-
פרוקסי IP/FQDN — כתובת שניתן להשתמש בה כדי להגיע למכונת ה- proxy.
-
יציאת פרוק סי - מספר יציאה שבו משתמש ה- proxy כדי להקשיב לתעבורת פרוקסי.
-
פרוטוקול פרו קסי — בהתאם לתמיכה בשרת ה- proxy שלך, בחר בין הפרוטוקולים הבאים:
-
HTTP — מציג ושולט בכל הבקשות שהלקוח שולח.
-
https — מספק ערוץ לשרת. הלקוח מקבל ומאמת את אישור השרת.
-
-
סוג אימות — בחר מבין סוגי האימות הבאים:
-
אין — אין צורך באימות נוסף.
זמין אם תבחר HTTP או HTTPS כפרוטוקול ה- proxy.
-
בסיסי - משמש עבור סוכן משתמש HTTP כדי לספק שם משתמש וסיסמה בעת הגשת בקשה. משתמש בקידוד Base64.
זמין אם תבחר HTTP או HTTPS כפרוטוקול ה- proxy.
מחייב אותך להכניס את שם המשתמש והסיסמה בכל צומת.
-
תק ציר - משמש לאישור החשבון לפני שליחת מידע רגיש. מחיל פונקציית hash על שם המשתמש והסיסמה לפני שליחה ברשת.
זמין רק אם תבחר HTTPS כפרוטוקול ה- proxy.
מחייב אותך להכניס את שם המשתמש והסיסמה בכל צומת.
-
-
דוגמה לצמתים ופרוקסי אבטחת נתונים היברידיים
תרשים זה מציג חיבור לדוגמה בין אבטחת נתונים היברידית, רשת ו- proxy. עבור אפשרויות הבדיקה השקופה והבדיקה המפורשת של HTTPS, יש להתקין את אותו אישור שורש על ה- proxy ובצמתים של אבטחת נתונים היברידיים.
מצב רזולוציית DNS חיצוני חסום (תצורות פרוקסי מפורשות)
כאשר אתה רושם צומת או בודק את תצורת ה- proxy של הצומת, התהליך בודק חיפוש DNS וקישוריות לע Cisco Webex נן. בפריסות עם תצורות פרוקסי מפורשות שאינן מאפשרות רזולוציית DNS חיצונית עבור לקוחות פנימיים, אם הצומת אינו יכול לשאול את שרתי ה- DNS, הוא עובר אוטומטית למצב רזולוציית DNS חיצונית חסומה. במצב זה, רישום צומת ובדיקות קישוריות פרוקסי אחרות יכולות להמשיך.
-
אנו תומכים רשמית בפתרונות ה- proxy הבאים שיכולים להשתלב עם הצמתים של אבטחת הנתונים ההיברידיים שלך.
-
פרוקסי שקוף - מכשיר אבטחת אינטרנט של סיסקו (WSA).
-
פרוקסי מפורש - דיונון.
פרוקסי Squid שבודקים תעבורת HTTPS עלולים להפריע להקמת חיבורי שקע אינטרנט (wss:). כדי לעקוף בעיה זו, ראה קביעת תצורה של פרוקסי Squid לאבטחת נתונים היברידיים.
-
-
אנו תומכים בשילובי סוגי האימות הבאים עבור פרוקסי מפורשים:
-
אין אימות באמצעות HTTP או HTTPS
-
אימות בסיסי עם HTTP או HTTPS
-
אימות עיכול באמצעות HTTPS בלבד
-
-
עבור פרוקסי בודק שקוף או פרוקסי HTTPS מפורש, עליך להחזיק עותק של אישור השורש של ה- proxy. הוראות הפריסה במדריך זה מספרות לך כיצד להעלות את העותק למאגרי האמון של צמודי אבטחת נתונים היברידיים.
-
יש להגדיר את הרשת המארחת את צמתים HDS כך שתאלץ את תעבורת TCP היוצאת ביציאה 443 לנתב דרך ה- proxy.
-
פרוקסי שבודקים תעבורת אינטרנט עלולים להפריע לחיבורי שקע אינטרנט. אם בעיה זו מתרחשת, עקיפת התנועה (לא בודקת)
wbx2.comותפciscospark.comתור את הבעיה.
אם סביבת הרשת דורשת פרוקסי, השתמש בהליך זה כדי לציין את סוג ה- proxy שברצונך לשלב עם אבטחת נתונים היברידית. אם תבחר פרוקסי בדיקה שקוף או פרוקסי HTTPS מפורש, תוכל להשתמש בממשק הצומת כדי להעלות ולהתקין את אישור השורש. ניתן גם לבדוק את חיבור ה- proxy מהממשק ולפתור בעיות אפשריות.
לפני שתתחיל
-
ראה תמיכה בפרוקסי לקבלת סקירה כללית של אפשרויות ה- proxy הנתמכות.
| 1 |
הזן את כתובת האתר להגדרת צ |
| 2 |
עבור אל חנות אמון ופרו קסי ולאחר מכן בחר אפשרות:
בצע את השלבים הבאים עבור פרוקסי בדיקה שקוף, פרוקסי מפורש של HTTP עם אימות בסיסי או פרוקסי HTTPS מפורש. |
| 3 |
לחץ על העלה אישור שורש או אישור ישות קצה ולאחר מכן נווט אל בחר אישור השורש עבור ה- proxy. האישור הועלה אך טרם הותקן מכיוון שעליך לאתחל את הצומת כדי להתקין את האישור. לחץ על חץ שברון ליד שם מנפיק האישור כדי לקבל פרטים נוספים או לחץ על מחק אם עשית טעות וברצונך להעלות מחדש את הקובץ. |
| 4 |
לחץ על בדוק חיבור פרו קסי כדי לבדוק את קישוריות הרשת בין הצומת ל- proxy. אם בדיקת החיבור נכשלת, תוצג הודעת שגיאה המציגה את הסיבה וכיצד ניתן לתקן את הבעיה. אם מוצגת הודעה שאומרת שרזולוציית DNS חיצונית לא הצליחה, הצומת לא הצליח להגיע לשרת ה- DNS. מצב זה צפוי בתצורות פרוקסי מפורשות רבות. באפשרותך להמשיך בהגדרה, והצומת יפעל במצב רזולוציית DNS חיצונית חסומה. אם אתה חושב שמדובר בשגיאה, בצע את השלבים הבאים ולאחר מכן ראה ביטול מצב רזולוציית DNS חיצוני חסום. |
| 5 |
לאחר בדיקת החיבור עוברת, עבור פרוקסי מפורש שהוגדר ל- https בלבד, הפעל את המתג לנתב את כל בקשות HTTPS של יציאה 443/444 מצומת זה דרך ה- proxy המפורש. הגדרה זו דורשת 15 שניות כדי להיכנס לתוקף. |
| 6 |
לחץ על התקן את כל האישורים במאגר האמון (מופיע עבור פרוקסי מפורש של HTTPS או פרוקסי בדיקה שקוף) או על את חול מחדש (מופיע עבור פרוקסי מפורש של HTTP), קרא את ההנחיה ולאחר מכן לחץ על התקן אם אתה מוכן. הצומת מופעל מחדש תוך מספר דקות. |
| 7 |
לאחר אתחול מחדש של הצומת, היכנס שוב במידת הצורך ולאחר מכן פתח את הד ף סקירה כדי לבדוק את בדיקות הקישוריות כדי לוודא שכולן במצב ירוק. בדיקת חיבור ה- proxy בודקת רק תת-דומיין של webex.com. אם יש בעיות קישוריות, בעיה נפוצה היא שחלק מתחומי הענן המפורטים בהוראות ההתקנה נחסמים ב- proxy. |
כאשר אתה רושם צומת או בודק את תצורת ה- proxy של הצומת, התהליך בודק חיפוש DNS וקישוריות לע Cisco Webex נן. אם שרת ה- DNS של הצומת אינו מצליח לפתור שמות DNS ציבוריים, הצומת עובר באופן אוטומטי למצב רז ולוציית DNS חיצונית חסומה.
אם הצמתים שלך מסוגלים לפתור שמות DNS ציבוריים באמצעות שרתי DNS פנימיים, באפשרותך לבטל מצב זה על-ידי הפעלה מחדש של בדיקת חיבור ה- proxy בכל צומת.
לפני שתתחיל
| 1 |
בדפדפן אינטרנט, פתח את ממשק הצומת אבטחת נתונים היברידית (כתובת IP/הגדרות, לדוגמה, https://192.0.2.0/setup), הזן את אישורי מנהל המערכת שהגדרת עבור הצומת ולאחר מכן לחץ על כניסה. |
| 2 |
עבור אל סקירה כללית (דף ברירת המחדל). 
כאשר אפשרות זו מופעלת, רז ולוציית DNS חיצונית חסומה מוגדרת כ -כן. |
| 3 |
עבור לדף חנות אמון ופרוק סי. |
| 4 |
לחץ על בדוק חיבור פרוקסי. אם אתה רואה הודעה האומרת כי רזולוציית DNS חיצונית לא הצליחה, הצומת לא הצליח להגיע לשרת ה- DNS ויישאר במצב זה. אחרת, לאחר שתאתחל מחדש את הצומת וחוזר לדף סקירה כללית, יש להגדיר את רזולוציית DNS החיצונית החסומה ל- No. |
מה לעשות הלאה
סעיף זה מתאר את תכונת התמיכה בפרוקסי עבור Webex Video Mesh. הוא נועד להשלים את מדריך הפריסה עבור רשת Cisco Webex וידאו, הז מין בכתובת https://www.cisco.com/go/video-mesh. בפריסה חדשה, אתה מגדיר את הגדרת ה- proxy בכל צומת לאחר פריסת תוכנת Video Mesh בסביבת מחשב וירטואלי, ולפני רישום הצומת בע Cisco Webex נן.
Video Mesh תומך בפרוקסי בדיקה מפורשים, שקופים ולא בודקים. אתה יכול לקשור פרוקסי אלה לפריסת ה- Video Mesh שלך כדי שתוכל לאבטח ולנטר תנועה מהארגון אל הענן. תכונה זו שולחת איתות וניהול תעבורה מבוססת https לפרוקסי. עבור פרוקסי שקופים, בקשות רשת מצמתים של Video Mesh מועברות לפרוקסי ספציפי באמצעות כללי ניתוב רשת ארגונית. באפשרותך להשתמש בממשק הניהול של Video Mesh לניהול אישורים ולמצב הקישוריות הכולל לאחר יישום ה- proxy עם הצמתים.
התקשורת אינה עוברת דרך הפרוקסי. עדיין עליך לפתוח את היציאות הנדרשות כדי שזרמי מדיה יגיעו ישירות לענן. ראה יציאות ופרוטוקולים לניהול.
סוגי ה- proxy הבאים נתמכים על-ידי Video Mesh:
-
פרוקסי מפורש (בודק או לא בודק) - עם פרוקסי מפורש, אתה אומר ללקוח (צמתים של Video Mesh) באיזה שרת proxy להשתמש. אפשרות זו תומכת באחד מסוגי האימות הבאים:
-
אין — אין צורך באימות נוסף. (עבור פרוקסי מפורש של HTTP או HTTPS.)
-
בסיסי — משמש לסוכן משתמש HTTP כדי לספק שם משתמש וסיסמה בעת ביצוע בקשה, ומשתמש בקידוד Base64. (עבור פרוקסי מפורש של HTTP או HTTPS.)
-
עיכול — משמש לאישור זהות החשבון לפני שליחת מידע רגיש, ומחיל פונקציית hash על שם המשתמש והסיסמה לפני שליחה ברשת. (עבור פרוקסי מפורש של HTTPS.)
-
NTLM — כמו Digest, NTLM משמש לאישור זהות החשבון לפני שליחת מידע רגיש. משתמש באישורי Windows במקום שם המשתמש והסיסמה. ערכת אימות זו דורשת החלפות מרובות כדי להשלים. (עבור פרוקסי מפורש של HTTP.)
-
-
פרוקסי שקוף (ללא בדיקה) — צמתים של רשת וידאו אינם מוגדרים לשימוש בכתובת שרת proxy ספציפית ואינם צריכים לדרוש שינויים כלשהם כדי לעבוד עם פרוקסי שאינו בודק.
-
פרוקסי שקוף (בדיקה) —צמתים של רשת וידאו אינם מוגדרים לשימוש בכתובת שרת proxy ספציפית. אין צורך בשינויי תצורת http ב- Video Mesh, עם זאת, צמתים של Video Mesh זקוקים לאישור שורש כדי שהם סומכים על ה- proxy. פרוקסי בדיקה משמשים בדרך כלל על ידי ה- IT כדי לאכוף מדיניות בנוגע לאתרים שבהם ניתן לבקר וסוגי תוכן שאינם מותרים. סוג זה של פרוקסי מפענח את כל התנועה שלך (אפילו https).
-
אנו תומכים רשמית בפתרונות ה- proxy הבאים שיכולים להשתלב עם צמתים של Video Mesh שלך.
-
מכשיר אבטחת אינטרנט של סיסקו (WSA) עבור פרוקסי שקוף
-
דיונון לפרוקסי מפורש
-
-
עבור פרוקסי מפורש או פרוקסי בדיקה שקוף שבודק (מפענח תנועה), עליך להחזיק עותק של אישור השורש של ה- proxy שתצטרך להעלות למאגר האמון של צומת Video Mesh בממשק האינטרנט.
-
אנו תומכים בשילובי פרוקסי וסוגי אימות מפורשים הבאים:
-
אין אימות עם http ו- https
-
אימות בסיסי עם http ו- https
-
אימות עיכול באמצעות https בלבד
-
אימות NTLM עם http בלבד
-
-
עבור פרוקסי שקופים, עליך להשתמש בנתב/מתג כדי לאלץ את תעבורת HTTPS/443 לעבור ל- proxy. אתה יכול גם לאלץ את שקע האינטרנט לעבור ל- proxy. (שקע האינטרנט משתמש ב- https.)
Video Mesh דורש חיבורי שקע אינטרנט לשירותי ענן, כך שהצמתים יפעלו כראוי. בבדיקה מפורשת ובדיקה של פרוקסי בדיקה שקופים, כותרות http נדרשות לחיבור שקע אינטרנט תקין. אם הם ישתנו, חיבור ה- websocket ייכשל.
כאשר כשל בחיבור שקע אינטרנט מתרחש ביציאה 443 (כאשר פרוקסי בדיקה שקוף מופעל), הדבר מוביל לאזהרה לאחר ההרשמה ב- Control Hub: "שיחת Webex Video Mesh SIP אינה פועלת כראוי." אותה אזעקה יכולה להתרחש מסיבות אחרות כאשר ה- proxy אינו מופעל. כאשר כותרות שקע אינטרנט חסומות ביציאה 443, המדיה אינה זורמת בין אפליקציות ללקוחות SIP.
אם המדיה אינה זורמת, הדבר מתרחש לעתים קרובות כאשר תעבורת https מהצומת מעל יציאה 443 נכשלת:
-
תעבורת יציאה 443 מותרת על ידי ה- proxy, אך זהו פרוקסי בודק ושובר את שקע האינטרנט.
כדי לתקן בעיות אלה, ייתכן שיהיה עליך "לעקוף" או "לחבר" (להשבית בדיקה) ביציאה 443 ל: *.wbx2.com ו-*.ciscospark.com.
-
השתמש בהליך זה כדי לציין את סוג ה- proxy שברצונך לשלב עם רשת וידאו. אם תבחר פרוקסי בדיקה שקוף או פרוקסי מפורש, תוכל להשתמש בממשק הצומת כדי להעלות ולהתקין את אישור השורש, לבדוק את חיבור ה- proxy ולפתור בעיות אפשריות.
לפני שתתחיל
-
ראה תמיכה ב- Proxy עבור Video Mesh לקבלת סקירה כללית של אפשרויות ה- proxy הנתמכות.
| 1 |
הזן את כתובת | ||||||||||
| 2 |
עבור אל חנות אמון ופרו קסי ולאחר מכן בחר אפשרות:
בצע את השלבים הבאים לבדיקה שקופה או פרוקסי מפורש. | ||||||||||
| 3 |
לחץ על העלה אישור שורש או אישור ישות ק צה ולאחר מכן אתר ובחר את אישור השורש עבור ה- proxy המבוקש המפורש או השקוף. האישור הועלה אך טרם הותקן מכיוון שצריך לאתחל מחדש את הצומת כדי להתקין את האישור. לחץ על החץ ליד שם מנפיק האישור כדי לקבל פרטים נוספים או לחץ על מח ק אם עשית טעות וברצונך להעלות מחדש את הקובץ. | ||||||||||
| 4 |
לבדיקה שקופה או פרוקסי פרוקסי מפורשים, לחץ על בדוק חיבור פרוקסי כדי לבדוק את קישוריות הרשת בין הצומת Video Mesh לבין ה- proxy. אם בדיקת החיבור נכשלת, תוצג הודעת שגיאה המציגה את הסיבה וכיצד ניתן לתקן את הבעיה. | ||||||||||
| 5 |
לאחר בדיקת החיבור עוברת, עבור פרוקסי מפורש, הפעל את המתג לנתב את כל בקשות HTTPS של יציאה 443 מצומת זה דרך ה- proxy המפורש. הגדרה זו דורשת 15 שניות כדי להיכנס לתוקף. | ||||||||||
| 6 |
לחץ על התקן את כל האישורים במאגר האמון (מופיע בכל פעם שנוסף אישור שורש במהלך הגדרת ה- proxy) או על את חול מחדש (מופיע אם לא נוסף אישור בסיס), קרא את ההנחיה ולאחר מכן לחץ על התקן אם אתה מוכן. הצומת מופעל מחדש תוך מספר דקות. | ||||||||||
| 7 |
לאחר אתחול מחדש של הצומת, היכנס שוב במידת הצורך ולאחר מכן פתח את הד ף סקירה כדי לבדוק את בדיקות הקישוריות כדי לוודא שכולן במצב ירוק. בדיקת חיבור ה- proxy בודקת רק תת-דומיין של webex.com. אם יש בעיות קישוריות, בעיה נפוצה היא שחלק מתחומי הענן המפורטים בהוראות ההתקנה נחסמים ב- proxy. |
איזו תנועה עוברת דרך פרוקסי
עבור Video Mesh, המדיה אינה חוצה את ה- proxy. תכונה זו שולחת תנועה מבוססת https ואיתות וניהול לפרוקסי. עדיין עליך לפתוח את היציאות הנדרשות כדי שזרמי מדיה יגיעו ישירות לענן.
יציאת TCP 444 אינה מופעלת בפרוקסי
יציאה זו היא דרישה עבור Video Mesh, מכיוון ש- Video Mesh משתמשת ביציאה זו כדי לגשת לשירותים מבוססי ענן שבהם היא חייבת להשתמש כדי לתפקד כראוי. יש לבצע חריג של פרוקסי עבור יציאה זו ו- ANY כפי שתועד במד ריך הפריסה של Video Mesh ובד רישות הרשת עבור שירותי Webex Teams.
סינון תעבורת איתות לפי כתובת IP אינו נתמך מכיוון שכתובות ה- IP המשמשות את הפתרונות שלנו הן דינמיות ועשויות להשתנות בכל עת.
אין אישור שורש מותקן
כאשר הצמתים שלך מדברים עם פרוקסי מפורש, עליך להתקין את אישור השורש ולהזן חריג עבור כתובת URL זו בחומת האש שלך.
בדיקת קישוריות נכשלת
אם בדיקת קישוריות ה- proxy עברה והתקנת ה- proxy הושלמה, בדיקות הקישוריות בדף הסקירה עדיין עשויות להיכשל מסיבות אלה:
-
ה- proxy בודק תנועה שאינה עוברת ל- webex.com.
-
הפרוקסי חוסם דומיינים שאינם webex.com.
פרטי האימות אינם נכונים
עבור פרוקסי המשתמשים במנגנון אימות, ודא שאתה מוסיף את פרטי האימות הנכונים בצומת.
גודש בפרוקסי
עומס בפרוקסי שלך עלול לגרום לעיכוב ולירידות עם התנועה לענן. בדוק את סביבת ה- proxy שלך כדי לראות אם נדרשת צמצום תנועה.
שקע אינטרנט לא יכול להתחבר דרך פרוקסי Squid
פרוקסי Squid שבודקים תעבורת HTTPS עלולים להפריע להקמת חיבורי websocket (wss:) שדורשת אבטחת נתונים היברידית. חלקים אלה נותנים הנחיות כיצד להגדיר גרסאות שונות של Squid להתעלם מת wss:נועה להפעלה תקינה של השירותים.
דיונון 4 ו -5
הוסף את ההור on_unsupported_protocolאה ל squid.conf:
on_unsupported_protocol tunnel allדיונון 3.5.27
בדקנו בהצלחה אבטחת נתונים היברידית עם הכללים הבאים שנוספו אליה squid.conf. כללים אלה כפופים לשינויים כאשר אנו מפתחים תכונות ומעדכנים את ענן Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
