Köszönjük visszajelzését.
Proxy támogatás hibrid adatbiztonsághoz és videohálóhoz
Visszajelzés?Ez a szakasz a hibrid adatbiztonság proxytámogatási funkcióját ismerteti. Célja, hogy kiegészítse a Cisco Webex Hybrid Data Security telepítési útmutatóját, amely a címen érhető https://www.cisco.com/go/hybrid-data-securityel: . Egy új központi telepítés esetén konfigurálja a proxybeállítást az egyes csomópontokon, miután feltöltötte és csatlakoztatta a HDS-konfiguráció ISO-t a csomópontra, és mielőtt regisztrálná a csomópontot a Cisco Webex felhőben.
A Hibrid adatbiztonság támogatja az explicit, átlátható ellenőrzést és a nem ellenőrző proxykat. Ezeket a proxykat az üzembe helyezéshez kötheti, így biztonságossá teheti és figyelheti a vállalattól a felhőig irányuló forgalmat. A tanúsítványkezeléshez platformfelügyeleti felületet használhat a csomópontokon, és ellenőrizheti a kapcsolat általános állapotát, miután beállította a proxyt a csomópontokon.
A hibrid adatbiztonsági csomópontok a következő proxybeállításokat támogatják:
-
Nincs proxy— Az alapértelmezett beállítás, ha nem használja a HDS csomópont beállítását Megbízható tároló & Proxy konfiguráció proxy integrálásához. Nincs szükség tanúsítványfrissítésre.
-
Átlátszó, nem ellenőrző proxy— A csomópontok nincsenek konfigurálva egy adott proxykiszolgáló cím használatára, és nem igényelnek semmilyen módosítást ahhoz, hogy nem ellenőrző proxyval működjenek. Nincs szükség tanúsítványfrissítésre.
-
Átlátszó alagútkezelés vagy proxy vizsgálata— A csomópontok nincsenek konfigurálva egy adott proxykiszolgáló cím használatára. A csomópontokon nincs szükség HTTP- vagy HTTPS-konfigurációs módosításokra. A csomópontoknak azonban főtanúsítványra van szükségük, hogy megbízzanak a proxyban. A proxyk ellenőrzését az IT általában arra használja, hogy betartassa azokat az irányelveket, amelyeken a webhelyek látogathatók, és milyen típusú tartalom nem engedélyezett. Ez a fajta proxy visszafejti az összes forgalmat (még HTTPS-t is).
-
Explicit proxy— Explicit proxy használatával megmondhatod a HDS csomópontoknak, hogy melyik proxy szervert és hitelesítési sémát használják. Explicit proxy konfigurálásához minden csomóponton a következő adatokat kell megadnia:
-
Meghatalmazott IP/FQDN—A proxy gép eléréséhez használható cím.
-
Proxy port— Egy portszám, amelyet a proxy a proxy forgalom figyelésére használ.
-
Proxy protokoll— Attól függően, hogy mit támogat a proxy szerver, válasszon a következő protokollok közül:
-
HTTP – Az ügyfél által küldött összes kérés megtekintése és ellenőrzése.
-
HTTPS – Csatornát biztosít a kiszolgálónak. Az ügyfél megkapja és ellenőrzi a kiszolgáló tanúsítványát.
-
-
Hitelesítési típus— Válasszon az alábbi hitelesítési típusok közül:
-
Nincs— Nincs szükség további hitelesítésre.
Akkor érhető el, ha a HTTP-t vagy a HTTPS-t választja proxyprotokollként.
-
Basic— HTTP felhasználói ügynökök számára használatos felhasználónév és jelszó megadására kérések kezdeményezésekor. Base64 kódolást használ.
Akkor érhető el, ha a HTTP-t vagy a HTTPS-t választja proxyprotokollként.
Meg kell adnia a felhasználónevet és a jelszót az egyes csomópontokon.
-
Kivonat— A fiók megerősítésére szolgál a bizalmas információk küldése előtt. Kivonatfüggvényt alkalmaz a felhasználónévre és a jelszóra, mielőtt elküldené a hálózaton keresztül.
Csak akkor érhető el, ha a HTTPS-t választja proxyprotokollként.
Meg kell adnia a felhasználónevet és a jelszót az egyes csomópontokon.
-
-
Példa hibrid adatbiztonsági csomópontokra és proxykra
Ez a diagram egy példakapcsolatot mutat be a hibrid adatbiztonság, a hálózat és a proxy között. Az átlátható ellenőrzési és HTTPS-explicit ellenőrző proxybeállításokhoz ugyanazt a főtanúsítványt kell telepíteni a proxyra és a hibrid adatbiztonsági csomópontokra.
Blokkolt külső DNS-feloldási mód (explicit proxykonfigurációk)
Amikor regisztrál egy csomópontot, vagy ellenőrzi a csomópont proxykonfigurációját, a folyamat teszteli a DNS-ellenőrzést és a Cisco Webex felhővel való kapcsolatot. Az explicit proxykonfigurációkkal rendelkező központi telepítések esetében, amelyek nem teszik lehetővé a külső DNS-feloldást a belső ügyfelek számára, ha a csomópont nem tudja lekérdezni a DNS-kiszolgálókat, automatikusan blokkolt külső DNS-feloldási módba lép. Ebben az üzemmódban folytatódhat a csomópont-regisztráció és más proxykapcsolati tesztek.
-
Hivatalosan is támogatjuk a következő proxy megoldásokat, amelyek integrálhatók a hibrid adatbiztonsági csomópontjaival.
-
Átlátszó proxy – Cisco Web Security Appliance (WSA).
-
Explicit proxy – tintahal.
A HTTPS forgalmat vizsgáló Squid proxyk zavarhatják a websocket létrehozását. (wss:) kapcsolatok. A probléma kerülő megoldásához lásd: Squid proxyk konfigurálása hibrid adatbiztonsághoz.
-
-
Az explicit proxyk esetében a következő hitelesítési típuskombinációkat támogatjuk:
-
Nincs hitelesítés HTTP-vel vagy HTTPS-rel
-
Alapszintű hitelesítés HTTP-vel vagy HTTPS-rel
-
Hitelesítés megemésztése csak HTTPS-rel
-
-
Átlátszó ellenőrző proxyhoz vagy HTTPS explicit proxyhoz rendelkeznie kell a proxy főtanúsítványának másolatával. Az útmutató üzembe helyezési utasításaiból az útmutató ismerteti, hogyan töltheti fel a másolatot a hibrid adatbiztonsági csomópontok megbízhatósági tárolóiba.
-
A HDS-csomópontokat üzemeltető hálózatot úgy kell konfigurálni, hogy a 443-as port kimenő TCP-forgalmát kényszerítse a proxyn való áthaladásra.
-
A webes forgalmat ellenőrző proxyk zavarhatják a webfoglalat-kapcsolatokat. Ha ez a probléma előfordul,
wbx2.coma ésciscospark.comfelé irányuló forgalom megkerülése (nem ellenőrzése) megoldja a problémát.
Ha a hálózati környezet proxyt igényel, ezzel az eljárással adhatja meg a hibrid adatbiztonsággal integrálni kívánt proxy típusát. Ha átlátszó ellenőrző proxyt vagy HTTPS explicit proxyt választ, a csomópont felületével feltöltheti és telepítheti a főtanúsítványt. A proxykapcsolatot az interfészről is ellenőrizheti, és elháríthatja az esetleges problémákat.
| 1 |
Írja be a HDS csomópont beállítási URL-címét |
| 2 |
Lépjen a Trust Store & Proxyelemre, majd válasszon egy lehetőséget:
Kövesse az átlátható ellenőrző proxy, az alapszintű hitelesítéssel rendelkező HTTP-explicit proxy vagy a HTTPS explicit proxy következő lépéseit. |
| 3 |
Kattintson a Főtanúsítvány feltöltése vagy a Végfelhasználói tanúsítványlétrehozása elemre, majd keresse meg a proxy főtanúsítványát. A tanúsítvány feltöltésre került, de még nincs telepítve, mert a tanúsítvány telepítéséhez újra kell indítania a csomópontot. További részleteket szeretne megtudni a tanúsítványkibocsátó nevével a ékzár nyílra, vagy kattintson a Törlés gombra, ha hibát követett el, és újra szeretné tölteni a fájlt. |
| 4 |
Kattintson a Proxykapcsolat ellenőrzése gombra a csomópont és a proxy közötti hálózati kapcsolat teszteléséhez. Ha a kapcsolati teszt sikertelen, hibaüzenet jelenik meg, amely bemutatja az okot és a probléma kijavítást. Ha olyan üzenet jelenik meg, amely szerint a külső DNS-felbontás nem sikerült, a csomópont nem tudta elérni a DNS-kiszolgálót. Ez a feltétel számos explicit proxykonfigurációban várható. Folytathatja a beállítást, és a csomópont Blokkolt külső DNS-feloldási módban fog működni. Ha úgy gondolja, hogy ez egy hiba, kövesse az alábbi lépéseket, majd tekintse meg a Blokkolt külső DNS-feloldási mód kikapcsolásacímű részt. |
| 5 |
A csatlakozási teszt elvégzése után, ha csak https-re van állítva explicit proxy, kapcsolja be a kapcsolót a 443/444 https port útvonala parancsra az explicit proxynkeresztül. Ez a beállítás 15 másodpercet igényel a hatályba lépéshez. |
| 6 |
Kattintson az Összes tanúsítvány telepítése a megbízhatósági tárolóba (HTTPS explicit proxy vagy átlátszó ellenőrző proxy esetén jelenik meg) vagy Indítsa újra (HTTP explicit proxy esetén jelenik meg), olvassa el a parancsot, majd kattintson a Telepítés gombra, ha készen áll. A csomópont néhány percen belül újraindul. |
| 7 |
A csomópont újraindítása után jelentkezzen be újra, ha szükséges, majd nyissa meg az Áttekintés lapot, hogy ellenőrizze a kapcsolatellenőrzéseket, és győződjön meg arról, hogy mindegyik zöld állapotban van. A proxykapcsolat ellenőrzése csak webex.com aldomainét teszteli. Kapcsolódási problémák esetén gyakori probléma, hogy a telepítési utasításokban felsorolt felhőtartományok némelyike le van tiltva a proxyn. |
Amikor regisztrál egy csomópontot, vagy ellenőrzi a csomópont proxykonfigurációját, a folyamat teszteli a DNS-ellenőrzést és a Cisco Webex felhővel való kapcsolatot. Ha a csomópont DNS-kiszolgálója nem tudja feloldani a nyilvános DNS-neveket, a csomópont automatikusan blokkolt külső DNS-feloldási módba lép.
Ha a csomópontok képesek feloldani a nyilvános DNS-neveket a belső DNS-kiszolgálókon keresztül, kikapcsolhatja ezt a módot az egyes csomópontok proxykapcsolati tesztjének újrafuttatásával.
Mielőtt elkezdené
| 1 |
Webböngészőben nyissa meg a hibrid adatbiztonsági csomópont felületét (például IP-cím/beállítás https://192.0.2.0/setup), adja meg a csomóponthoz beállított rendszergazdai hitelesítő adatokat, majd kattintson a Bejelentkezésgombra. |
| 2 |
Lépjen az Áttekintés (az alapértelmezett lap) oldalra.  Ha engedélyezve van, a letiltott külső DNS-felbontás igen értékre van állítva. |
| 3 |
Lépjen a Megbízhatósági áruház és proxy oldalra. |
| 4 |
Kattintson a Proxykapcsolat ellenőrzéseelemre. Ha olyan üzenet jelenik meg, amely szerint a külső DNS-felbontás nem sikerült, a csomópont nem tudta elérni a DNS-kiszolgálót, és ebben a módban marad. Ellenkező esetben a csomópont újraindítása és az Áttekintés lapra való visszalépés után a blokkolt külső DNS-felbontást nemre kell állítani. |
Mi a következő lépés
Ez a szakasz a Webex Video Mesh proxytámogatási funkcióját ismerteti. Célja, hogy kiegészítse a Cisco Webex Video Mesh telepítési útmutatóját, amely a címen érhető https://www.cisco.com/go/video-meshel: . Egy új központi telepítés során konfigurálja a proxybeállítást az egyes csomópontokon, miután telepítette a Video Mesh szoftvert egy virtuális gépkörnyezetben, és mielőtt regisztrálná a csomópontot a Cisco Webex felhőben.
A Video Mesh támogatja az explicit, transzparens ellenőrző és nem ellenőrző proxykat. Ezeket a proxykat összekapcsolhatja a Video Mesh telepítésével, így biztonságossá teheti és figyelheti a vállalattól a felhőbe irányuló forgalmat. Ez a funkció jelzést küld és kezeli a https alapú forgalmat a proxynak. Az átlátszó proxyk esetében a Video Mesh csomópontok hálózati kéréseit a vállalati hálózati útválasztási szabályokon keresztül egy adott proxyhoz továbbítják. A Video Mesh adminisztrációs felületét használhatja a tanúsítványok kezeléséhez és az általános csatlakozási állapothoz, miután implementálta a proxyt a csomópontokkal.
A média nem halad át a proxyn. Továbbra is meg kell nyitnia a szükséges portokat, hogy a médiafolyamok közvetlenül elérjék a felhőt. Lásd: Portok és protokollok a kezeléshez.
A Video Mesh a következő proxytípusokat támogatja:
-
Explicit proxy (ellenőrzés vagy nem ellenőrzés) – Explicit proxyval meg kell mondania az ügyfélnek (Video Mesh csomópontok), hogy melyik proxykiszolgálót használja. Ez a beállítás az alábbi hitelesítési típusok egyikét támogatja:
-
Nincs szükség további hitelesítésre. (HTTP vagy HTTPS explicit proxy esetén.)
-
Alap – HTTP-felhasználói ügynök számára felhasználónév és jelszó megadására szolgál kérés esetén, és Base64 kódolást használ. (HTTP vagy HTTPS explicit proxy esetén.)
-
Kivonat – A fiók identitásának megerősítésére szolgál, mielőtt bizalmas információkat küld, és kivonat funkciót alkalmaz a felhasználónévre és a jelszóra, mielőtt elküldené a hálózaton keresztül. (HTTPS explicit proxy esetén.)
-
NTLM – A Digesthez hasonlóan az NTLM a fiók személyazonosságának megerősítésére szolgál, mielőtt bizalmas információkat küldene. A felhasználónév és a jelszó helyett Windows hitelesítő adatokat használ. Ehhez a hitelesítési sémához több cserére van szükség. (HTTP explicit proxy esetén.)
-
-
Átlátszó proxy (nem ellenőrző) – A Video Mesh csomópontok nincsenek beállítva egy adott proxykiszolgáló-cím használatára, és nem igényelnek módosításokat a nem ellenőrző proxyval való együttműködéshez.
-
Átlátszó proxy (ellenőrzés)– A Video Mesh csomópontok nincsenek beállítva egy adott proxykiszolgáló címének használatára. A Video Mesh-en nincs szükség http(s) konfigurációs módosításokra, azonban a Video Mesh csomópontoknak főtanúsítványra van szükségük, hogy megbízzanak a proxyban. A proxyk ellenőrzését az IT általában arra használja, hogy betartassa azokat a irányelveket, amelyek mely webhelyek látogathatók, és olyan tartalomtípusokat, amelyek nem engedélyezettek. Ez a fajta proxy visszafejti az összes forgalmat (még https is).
-
Hivatalosan a következő proxy megoldásokat támogatjuk, amelyek integrálhatók a Video Mesh csomópontjaival.
-
Cisco Web Security Appliance (WSA) az átlátszó proxyhoz
-
Tintahal explicit proxyhoz
-
-
Explicit proxy vagy transzparens, forgalmat vizsgáló (dekódoló) proxy esetén rendelkezni kell a proxy főtanúsítványának egy másolatával, amelyet fel kell tölteni a Video Mesh csomópont megbízható tárolójába a webes felületen.
-
A következő explicit proxy és hitelesítési típuskombinációkat támogatjuk:
-
Nincs hitelesítés http-vel és https-rel
-
Alapszintű hitelesítés http-vel és https-rel
-
Hitelesítés megemésztése csak https-rel
-
NTLM hitelesítés csak http-vel
-
-
Átlátszó proxyk esetén az útválasztót/kapcsolót kell használnia, hogy a HTTPS/443 forgalmat a proxyra kényszerítse. A Web Socketet kényszerítheted proxyra is. (A webfoglalat https-t használ.)
A Video Mesh csomópontjainak megfelelő működéséhez websocket-kapcsolatokra van szükség a felhőszolgáltatásokhoz. Explicit és transzparens ellenőrző proxyk esetén http fejlécek szükségesek a megfelelő websocket-kapcsolathoz. Ha megváltoztatják őket, a websocket-kapcsolat meghiúsul.
Amikor a websocket csatlakozási hiba a 443-as porton történik (engedélyezett átlátszó ellenőrző proxy mellett), a regisztráció utáni figyelmeztetés jelenik meg a Control Hubban: „A Webex Video Mesh SIP-hívások nem működnek megfelelően.” Ugyanez a riasztás más okból is előfordulhat, ha a proxy nincs engedélyezve. Ha a websocket fejlécek le vannak tiltva a 443-as porton, az adathordozók nem áramlanak az alkalmazások és a SIP-ügyfelek között.
Ha a média nem áramlik, ez gyakran akkor fordul elő, amikor a csomópontról a 443-as porton keresztül érkező https forgalom meghibásodik:
-
A proxy engedélyezi a 443-as porton keresztüli forgalmat, de ez egy ellenőrző proxy, és feltöri a websocketet.
A problémák megoldásához előfordulhat, hogy a 443-as porton „megkerülő” vagy „összekötő” (az ellenőrzés letiltó) üzemmódot kell használnia a következőkhöz: *.wbx2.com és *.ciscospark.com.
-
Ezzel az eljárással adhatja meg a Video Mesh-szel integrálni kívánt proxy típusát. Ha átlátszó ellenőrző proxyt vagy explicit proxyt választ, a csomópont felületével feltöltheti és telepítheti a főtanúsítványt, ellenőrizheti a proxykapcsolatot, és elháríthatja az esetleges problémákat.
Mielőtt elkezdené
-
A támogatott proxy beállítások áttekintéséhez lásd a Proxy támogatás Video Mesh-hez című részt.
| 1 |
Írja be a Video Mesh beállítási URL-címét | ||||||||||
| 2 |
Lépjen a Trust Store & Proxyelemre, majd válasszon egy lehetőséget:
Kövesse az átlátható ellenőrzés vagy explicit proxy következő lépéseit. | ||||||||||
| 3 |
Kattintson a Főtanúsítvány feltöltése vagy a végfelhasználói tanúsítványlétrehozása elemre, majd keresse meg és válassza ki az explicit vagy átlátható ellenőrző proxy főtanúsítványát. A tanúsítvány feltöltésre került, de még nincs telepítve, mert a tanúsítvány telepítéséhez újra kell indítani a csomópontot. További részleteket szeretne megtudni a tanúsítványkibocsátó nevével rendelkező nyílra, vagy kattintson a Törlés gombra, ha hibát követett el, és újra szeretné tölteni a fájlt. | ||||||||||
| 4 |
Az átlátszó ellenőrzéshez vagy explicit proxykhoz kattintson a Proxykapcsolat ellenőrzése gombra a Video Mesh csomópont és a proxy közötti hálózati kapcsolat teszteléséhez. Ha a kapcsolati teszt sikertelen, hibaüzenet jelenik meg, amely bemutatja az okot és a probléma kijavítást. | ||||||||||
| 5 |
Miután a csatlakozási teszt sikeres volt, explicit proxy esetén kapcsolja be a kapcsolót Az erről a csomópontról érkező összes 443-as porton érkező https kérést az explicit proxyn keresztül irányítsaértékre. Ez a beállítás 15 másodpercet igényel a hatályba lépéshez. | ||||||||||
| 6 |
Kattintson az Összes tanúsítvány telepítése a megbízhatósági tárolóba (akkor jelenik meg, amikor a proxy beállítása során főtanúsítványt adtak hozzá) vagy indítsa el (akkor jelenik meg, ha nem adtak hozzá főtanúsítványt), olvassa el a parancssort, majd kattintson a Telepítés gombra, ha készen áll. A csomópont néhány percen belül újraindul. | ||||||||||
| 7 |
A csomópont újraindítása után jelentkezzen be újra, ha szükséges, majd nyissa meg az Áttekintés lapot, hogy ellenőrizze a kapcsolatellenőrzéseket, és győződjön meg arról, hogy mindegyik zöld állapotban van. A proxykapcsolat ellenőrzése csak webex.com aldomainét teszteli. Kapcsolódási problémák esetén gyakori probléma, hogy a telepítési utasításokban felsorolt felhőtartományok némelyike le van tiltva a proxyn. |
Milyen forgalom megy keresztül Proxy
A Video Mesh esetében az adathordozó nem halad át a proxyn. Ez a funkció jelzi és kezelő https-alapú forgalmat küld a proxynak. A médiafolyamok közvetlen eléréséhez továbbra is meg kell nyitnia a szükséges portokat.
A 444-es TCP-port nincs engedélyezve proxyn
Ez a port a Video Mesh követelménye, mivel a Video Mesh ezt a portot használja a felhőalapú szolgáltatások eléréséhez, amelyeket a megfelelő működéshez kell használnia. Ehhez a porthoz és az ANY-hoz proxy kivételt kell tenni a Video Mesh üzembe helyezési útmutatójában és a Webex Teams-szolgáltatások hálózati követelményeibendokumentálva.
A jelátvitel IP-cím szerinti szűrése nem támogatott, mivel a megoldásaink által használt IP-címek dinamikusak, és bármikor változhatnak.
Nincs telepítve főtanúsítvány
Amikor a csomópontok explicit proxyval beszélgetnek, telepítenie kell a főtanúsítványt, és kivételt kell adnia az adott URL-címhez a tűzfalon.
A kapcsolat ellenőrzése sikertelen
Ha a proxykapcsolat ellenőrzése befejeződött, és a proxy telepítése befejeződött, az áttekintő oldalon végzett kapcsolatellenőrzések az alábbi okok miatt továbbra is meghiúsulhatnak:
-
A proxy ellenőrzi a forgalmat, amely nem megy webex.com.
-
A proxy a webex.com kívüli tartományokat blokkolja.
A hitelesítési adatok helytelenek
A hitelesítési mechanizmust használó proxyk esetében győződjön meg arról, hogy a megfelelő hitelesítési adatokat adja hozzá a csomóponthoz.
Torlódás a proxyn
A proxy torlódása késést okozhat, és csökkenhet a felhőbe irányuló forgalommal. Ellenőrizze a proxykörnyezetet, hogy szükség van-e forgalomkorlátozásra.
A Websocket nem tud tintahal-proxyn keresztül csatlakozni
A HTTPS forgalmat vizsgáló Squid proxyk zavarhatják a Hybrid Data Security által megkövetelt websocket (wss:) kapcsolatok létrehozását. Ezek a szakaszok útmutatást nyújtanak a Squid különböző verzióinak konfigurálásához, hogy a szolgáltatások megfelelő működése érdekében figyelmen kívül hagyják a wss: forgalmat.
Tintahal 4 és 5
Adja hozzá a on_unsupported_protocol direktívát a squid.conf-hez :
on_unsupported_protocol tunnel allTintahal 3.5.27
Sikeresen teszteltük a hibrid adatbiztonságot a következő szabályok hozzáadásával a squid.confponthoz. Ezek a szabályok változhatnak a funkciók fejlesztése és a Webex felhő frissítése során.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
