Köszönjük visszajelzését.
Proxy támogatás a hibrid adatbiztonsághoz és a videomeshhez
Visszajelzés?Ez a szakasz a hibrid adatbiztonság proxy támogatási funkcióját ismerteti. Célja kiegészíteni a Cisco Webexhibrid adatbiztonság telepítési útmutatóját, amely elérhető a https://www.cisco.com/go/hybrid-data-security címen. Egy új telepítésnél konfigurálja a proxy beállítását az egyes csomópontokon, miután feltöltötte és telepítette a HDS-konfigurációs ISO-t a csomópontra, és mielőtt regisztrálná a csomópontot a felhőben. Cisco Webex
A hibrid adatbiztonság támogatja az egyértelmű, átlátható ellenőrzési és nem ellenőrző proxy szolgáltatásokat. Ezeket a proxykeket összekapcsolhatja a telepítéshez, így biztosíthatja és figyelemmel kísérheti a vállalkozástól a felhőbe történő forgalmat. A csomópontokon platformrendszergazdai felületet használhat tanúsítványkezeléshez és az általános kapcsolat állapotának ellenőrzéséhez, miután beállította a proxyt a csomópontokon.
A hibrid adatbiztonsági csomópontok a következő proxy beállításokat támogatják:
-
Nincs proxy — Al apértelmezett, ha nem használja a HDS-csomópont-beállítást a Trust Store & Proxy konfigurációját a proxy integrálásához. Nincs szükség tanúsítványfrissítésre.
-
Átlátszó, nem ellenőrző proxy — A csomópontok nincsenek konfigurálva egy adott proxykiszolgáló címének használatához, és nem igényelhetnek változtatásokat a nem ellenőrző proxyval való működéshez. Nincs szükség tanúsítványfrissítésre.
-
Átlátszó alagút vagy proxy ellenőrzése — A csomópontok nincsenek konfigurálva egy adott proxykiszolgáló címének használatára. A csomópontokon nincs szükség HTTP- vagy HTTPS-konfigurációs módosításokra. A csomópontoknak azonban gyökértanúsítványra van szükségük, hogy megbízhassanak a proxyban. Az ellenőrző proxy-ket az informatika általában arra használja, hogy érvényesítse azokat az irányelveket, amelyek alapján mely weboldalak látogathatók meg, és mely típusú tartalmak nem engedélyezettek. Ez a típusú proxy visszafejti az összes forgalmat (még a HTTPS-t is).
-
Explicit proxy — Explicit proxy esetén megmondhatja a HDS-csomópontokat, hogy melyik proxykiszolgálót és hitelesítési sémát kell használni. Egy kifejezett proxy konfigurálásához minden csomópontra meg kell adnia a következő információkat:
-
Proxy IP/FQDN — C ím, amellyel elérheti a proxygépet.
-
Proxy port — Portszám, amelyet a proxy használ a proxy forgalom meghallgatására.
-
Proxy protokoll — Attól függően, hogy a proxykiszolgáló mit támogat, válasszon a következő protokollok közül:
-
HTTP—megtekinti és vezérli az ügyfél által küldött összes kérést.
-
Https — csatornát biztosít a szervernek. Az ügyfél megkapja és érvényesíti a kiszolgáló tanúsítványát.
-
-
Hitelesítési típus — Válasszon a következő hitelesítési típusok közül:
-
Nincs — Nincs szükség további hitelesítésre.
Elérhető, ha a HTTP-t vagy a HTTPS-t választja proxy protokollként.
-
Alap vető — A HTTP-felhasználói ügynöknél felhasználónév és jelszó megadására szolgál kérelem benyújtásakor. Base64 kódolást használ.
Elérhető, ha a HTTP-t vagy a HTTPS-t választja proxy protokollként.
Az egyes csomópontokon meg kell adnia a felhasználónevet és a jelszót.
-
Digest — A fiók megerősítésére szolgál az érzékeny információk elküldése előtt. Hash-funkciót alkalmaz a felhasználónévre és a jelszóra, mielőtt a hálózaton keresztüli küldés előtt.
Csak akkor érhető el, ha proxy protokollként a HTTPS-t választja.
Az egyes csomópontokon meg kell adnia a felhasználónevet és a jelszót.
-
-
Példa hibrid adatbiztonsági csomópontokra és proxyra
Ez a diagram a hibrid adatbiztonság, a hálózat és a proxy közötti kapcsolat példáját mutatja be. Az átlátható ellenőrzési és HTTPS kifejezett ellenőrző proxy beállításokhoz ugyanazt a gyökértanúsítványt kell telepíteni a proxyra és a hibrid adatbiztonsági csomópontokra.
Blokkolt külső DNS-felbontási mód (Explicit proxy konfigurációk)
Amikor regisztrál egy csomópontot vagy ellenőrzi a csomópont proxy konfigurációját, a folyamat teszteli a DNS-keresést és a Cisco Webex felhővel való csatlakozást. Ha a csomópont nem tudja lekérdezni a DNS-kiszolgálókat, automatikusan a Blokkolt külső DNS-felbontás módba lép, ha a külső DNS-felbontást nem engedélyezi kifejezett proxy konfigurációkkal rendelkező telepítéseknél. Ebben a módban a csomópontok regisztrációja és egyéb proxykapcsolati tesztek folytathatók.
-
Hivatalosan támogatjuk a következő proxy megoldásokat, amelyek integrálhatók a hibrid adatbiztonsági csomópontokba.
-
Átlátszó proxy — Cisco Web Security Appliance (WSA).
-
Explicit proxy - Squid.
A HTTPS-forgalmat ellenőrző Squid proxy zavarhatják a websocket (wss:) kapcsolatok létrehozását. A probléma megoldásához a Squid Proxi-ek konfigurálása hibrid adatbiztonsághoz című témakörben talál.
-
-
A következő hitelesítési típuskombinációkat támogatjuk az expressz proxy-k esetében:
-
Nincs hitelesítés HTTP vagy HTTPS segítségével
-
Alapvető hitelesítés HTTP vagy HTTPS segítségével
-
A hitelesítés összesítése csak HTTPS-sel
-
-
Átlátszó ellenőrző proxy vagy HTTPS kifejezett proxy esetén rendelkeznie kell a proxy gyökértanúsítványának másolatával. Az ebben az útmutatóban található telepítési utasítások megtudják, hogyan töltheti fel a másolatot a hibrid adatbiztonsági csomópontok megbízható tárolóiba.
-
A HDS-csomópontokat tároló hálózatot úgy kell konfigurálni, hogy a 443-as porton lévő kimenő TCP-forgalmat kényszerítse a proxyon keresztül történő útvonalat.
-
A webes forgalmat ellenőrző proxyok zavarhatják a webes aljzat kapcsolatait. Ha ez a probléma merül fel, a forgalom megkerülése (nem ellenőrzése)
wbx2.comésciscospark.commegoldja a problémát.
Ha a hálózati környezet proxyt igényel, ezzel az eljárással adja meg a hibrid adatbiztonsággal integrálni kívánt proxy típusát. Ha átlátszó ellenőrző proxyt vagy HTTPS kifejezett proxyt választ, akkor a csomópont felületén töltheti fel és telepítheti a gyökértanúsítványt. Ellenőrizheti a proxy kapcsolatot az interfészről is, és elháríthatja az esetleges problémákat.
Mielőtt elkezdené
-
A támogatott proxy beállítások áttekintéséhez lásd: Proxy támogatás.
| 1 |
Adja meg a HDS-csomópont beállítási URL-jét egy webböngésző |
| 2 |
Nyissa meg a Trust Store & Proxy men üpontot, majd válasszon egy lehetőséget:
Kövesse a következő lépéseket egy átlátszó ellenőrző proxy, egy Basic hitelesítéssel rendelkező HTTP explícit proxy vagy egy HTTPS-explícit proxy esetén. |
| 3 |
Kattintson a Gyö kértanúsítvány feltöltése vagy Entitás-tanú sítvány befejezése elemre, majd keresse meg a proxy gyökértanúsítványának kiválasztását. A tanúsítvány feltöltve van, de még nincs telepítve, mert a tanúsítvány telepítéséhez újra kell indítania a csomópontot. Kattintson a tanúsítvány kibocsátója nevénél található szevron nyílra a további részletek megszerzéséhez, vagy kattintson a Tör lés gombra, ha hibát követett el, és újra szeretné feltölteni a fájlt. |
| 4 |
Kattintson a Proxy kapcsolat ellenőrzése gombra a csomópont és a proxy közötti hálózati kapcsolat teszteléséhez. Ha a kapcsolat tesztje sikertelen, hibaüzenet jelenik meg, amely megmutatja a probléma okát és a probléma kijavításának módját. Ha olyan üzenet jelenik meg, amely szerint a külső DNS-felbontás nem volt sikeres, a csomópont nem tudta elérni a DNS-kiszolgálót. Ez a feltétel számos kifejezett proxy konfigurációban várható. Folytathatja a beállítást, és a csomópont blokkolt külső DNS-felbontás módban fog működni. Ha úgy gondolja, hogy ez hiba, hajtsa végre ezeket a lépéseket, majd tekintse meg a Blokkolt külső DNS-felbontási mód kikapcsolása című részt. |
| 5 |
A kapcsolati teszt lejár ta után a kizárólag https-re beállított expressz proxy esetén kapcsolja be a kapcsolót a 443/444 port https-kéréseinek továbbítása erre a csomópontról a kifejezett proxyn keresztül. Ennek a beállításnak 15 másodpercre van szüksége a hatályba lépéséhez. |
| 6 |
Kattintson az Összes tanúsítvány telepítése a Trust Store-ba (HTTPS kifejezett proxy vagy átlátszó ellenőrző proxy esetén jelenik meg) vagy az Új ra indítás (egy HTTP-expressz proxy esetén jelenik meg) elemre, olvassa el a felszólítást, majd kattintson a Telepítés gombra, ha készen áll. A csomópont néhány percen belül újraindul. |
| 7 |
Miután a csomópont újraindult, jelentkezzen be újra, ha szükséges, majd nyissa meg az Áttekin tés oldalt, hogy ellenőrizze a csatlakozási ellenőrzéseket, hogy megbizonyosodjon arról, hogy mindegyik zöld állapotban van-e. A proxykapcsolat ellenőrzése csak a webex.com altartományát teszteli. Ha kapcsolódási problémák merülnek fel, gyakori probléma az, hogy a telepítési utasításokban felsorolt felhőtartományok egy részét blokkolják a proxynál. |
Amikor regisztrál egy csomópontot vagy ellenőrzi a csomópont proxy konfigurációját, a folyamat teszteli a DNS-keresést és a Cisco Webex felhővel való csatlakozást. Ha a csomópont DNS-kiszolgálója nem tudja megoldani a nyilvános DNS-neveket, a csomópont automatikusan blokkolt külső DNS-felbontás módba lép.
Ha a csomópontok képesek belső DNS-kiszolgálókon keresztül megoldani a nyilvános DNS-neveket, kikapcsolhatja ezt a módot az egyes csomópontok proxykapcsolati tesztjének újbóli futtatásával.
Mielőtt elkezdené
| 1 |
Egy webböngészőben nyissa meg a Hybrid Data Security csomópont felületét (IP-cím/beállítás, például https://192.0.2.0/setup), adja meg a csomóponthoz beállított rendszergazdai hitelesítő adatokat, majd kattintson a Bejelentkezés gombra. |
| 2 |
Lépjen az Á ttekintés menüpontra (az alapértelmezett oldal). 
Ha engedélyezve van, a Blokkolt külső DNS-felbon tás Igen értékre van állí tva. |
| 3 |
Nyissa meg a Trust Store & Proxy oldalt. |
| 4 |
Kattintson a Proxy kapcsolat ellenőrzése gom bra. Ha olyan üzenet jelenik meg, amely szerint a külső DNS-felbontás nem volt sikeres, a csomópont nem tudta elérni a DNS-kiszolgálót, és ebben a módban marad. Ellenkező esetben a csomópont újraindítása és az Áttekin tés oldalra való visszatérés után a Blokkolt külső DNS-felbontást nem kell beállítani. |
Mi a teendő ezután
Ez a szakasz a Webex Video Mesh proxy támogatási funkcióját ismerteti. Célja kiegészíteni a Cisco WebexVideo Mesh telepítési útmutatóját, amely elérhető a https://www.cisco.com/go/video-mesh oldalon. Egy új telepítésnél konfigurálja a proxy beállítását az egyes csomópontokon, miután a Video Mesh szoftvert virtuális gépi környezetben telepítette, és mielőtt regisztrálta a csomópontot a Cisco Webex felhőben.
A Video Mesh támogatja az egyértelmű, átlátszó ellenőrző és nem ellenőrző proxy szolgáltatásokat. Ezeket a proxykeket a Video Mesh telepítéséhez kötheti, így biztosíthatja és figyelemmel kísérheti a vállalkozástól a felhőbe történő forgalmat. Ez a funkció jelátviteli és felügyeleti https-alapú forgalmat küld a proxyhoz. Átlátszó proxy esetén a Video Mesh csomópontokból érkező hálózati kéréseket vállalati hálózati útválasztási szabályokon keresztül továbbítják egy adott proxyhoz. A Video Mesh rendszergazdai felületet használhatja a tanúsítványkezeléshez és az általános kapcsolat állapotához, miután a proxy telepítése a csomópontokkal történt.
A média nem halad át a proxyn keresztül. Továbbra is meg kell nyitnia a szükséges portokat ahhoz, hogy a médiaadatfolyamok közvetlenül elérhessenek a felhőbe. Lás d: Portok és protokollok kezeléshez.
A Video Mesh a következő proxy típusokat támogatja:
-
Explicit proxy (ellenőrző vagy nem ellenőrző) — Explicit proxy esetén megmondja az ügyfélnek (Video Mesh csomópontok), hogy melyik proxykiszolgálót használja. Ez az opció támogatja az alábbi hitelesítési típusok egyikét:
-
Nincs — Nincs szükség további hitelesítésre. (HTTP vagy HTTPS kifejezett proxy esetén.)
-
Alapvető — A HTTP-felhasználói ügynöknél felhasználónév és jelszó megadására kérelem benyújtásakor, és Base64 kódolást használ. (HTTP vagy HTTPS kifejezett proxy esetén.)
-
Digest — A fiók személyazonosságának megerősítésére szolgál az érzékeny információk elküldése előtt, és egy hash funkciót alkalmaz a felhasználónévre és a jelszóra, mielőtt a hálózaton keresztül küldené. (HTTPS kifejezett proxy esetén.)
-
Az NTLM-hez hasonlóan a Digest-hez hasonlóan az NTLM a fiók személyazonosságának megerősítésére szolgál, mielőtt érzékeny információkat küldene. A felhasználónév és a jelszó helyett Windows hitelesítő adatokat használ. Ennek a hitelesítési rendszernek a befejezéséhez több csere szükséges. (HTTP kifejezett proxy esetén.)
-
-
Átlátszó proxy (nem ellenőrző) — A Video Mesh csomópontok nincsenek konfigurálva egy adott proxykiszolgáló címének használatához, és nem igényelhetnek változtatásokat a nem ellenőrző proxyval való együttműködéshez.
-
Átlátszó proxy (ellenőrzés) — A Video Mesh csomópontok nincsenek konfigurálva egy adott proxykiszolgáló címének használására. A Video Mesh rendszerben nincs szükség http (ek) konfigurációjának módosítására, azonban a Video Mesh csomópontoknak gyökértanúsítványra van szükségük ahhoz, hogy megbízhassanak a proxyban. Az ellenőrző proxy-ket az informatika általában arra használja, hogy érvényesítse azokat a irányelveket, amelyek meglátogathatók, és a nem engedélyezett tartalomtípusokra vonatkozóan. Ez a típusú proxy visszafejti az összes forgalmat (még a https-t is).
-
Hivatalosan támogatjuk a következő proxy megoldásokat, amelyek integrálhatók a Video Mesh csomópontokba.
-
Cisco Web Security Appliance (WSA) átlátszó proxyhoz
-
Squid kifejezett proxyhoz
-
-
Egy kifejezett proxy vagy átlátszó ellenőrző proxy esetén, amely ellenőrzi (dekódolja a forgalmat), rendelkeznie kell a proxy gyökértanúsítványának másolatával, amelyet fel kell töltenie a webes felület Video Mesh csomópont-megbízhatótárolójába.
-
Támogatjuk a következő kifejezett proxy és hitelesítési típus kombinációkat:
-
Nincs hitelesítés http és https segítségével
-
Alapvető hitelesítés http és https segítségével
-
A hitelesítés összesítése csak https használatával
-
NTLM hitelesítés csak http segítségével
-
-
Átlátszó proxy esetén a router/kapcsolóval kell arra kényszeríteni, hogy a HTTPS/443 forgalmat a proxyhoz jusson. A Web Socket arra is kényszerítheti, hogy menjen a proxyhoz. (A Web Socket HTTPS-t használ.)
A Video Mesh webes foglalatokat igényel a felhőszolgáltatásokhoz, hogy a csomópontok megfelelően működjenek. Kifejezett ellenőrzés és átlátszó proxy-k esetén a megfelelő websocket kapcsolathoz http fejlécekre van szükség. Ha megváltoztatják őket, a websocket kapcsolat meghibásodik.
Ha a websocket kapcsolat meghibásodása következik be a 443-as porton (az átlátszó ellenőrző proxy engedélyezésével), a Control Hub regisztráció utáni figyelmeztetést eredményez: „A Webex Video Mesh SIP hívás nem működik megfelelően.” Ugyanez a riasztás más okokból is előfordulhat, ha a proxy nincs engedélyezve. Ha a websocket fejlécek blokkolva vannak a 443-as porton, a média nem áramlik az alkalmazások és a SIP-kliensek között.
Ha a média nem folyik, ez gyakran akkor fordul elő, ha a 443-as porton keresztüli csomópontról érkező https forgalom meghibásodik:
-
A 433-as port forgalmát a proxy engedélyezi, de ez egy ellenőrző proxy, és megszakítja a websockett.
A problémák kijavításához előfordulhat, hogy a 443-as porton „megkerülnie” vagy „splice” (le kell kapcsolnia az ellenőrzést) a következőkre: *.wbx2.com és *.ciscospark.com.
-
Ezzel az eljárással adja meg a videóhálóval integrálni kívánt proxy típusát. Ha átlátszó ellenőrző proxyt vagy egy kifejezett proxyt választ, a csomópont felületével feltöltheti és telepítheti a gyökértanúsítványt, ellenőrizheti a proxykapcsolatot, és elháríthatja az esetleges problémákat.
Mielőtt elkezdené
-
A támogatott proxybeállítások áttekintését a Video Mesh proxytámogatás című témakörben talál.
| 1 |
Írja be a Video Mesh beállítási URL-jét egy webböngésző | ||||||||||
| 2 |
Nyissa meg a Trust Store & Proxy men üpontot, majd válasszon egy lehetőséget:
Kövesse a következő lépéseket az átlátható ellenőrző vagy kifejezett proxy eléréséhez. | ||||||||||
| 3 |
Kattintson a Gyökértanúsítvány vagy Entitás-tanúsítvány feltöl tése elemre, majd keresse meg és válassza ki a kifejezett vagy átlátszó ellenőrző proxy gyökértanúsítványát. A tanúsítvány feltöltésre kerül, de még nincs telepítve, mert a csomópontot újra kell indítani a tanúsítvány telepítéséhez. Kattintson a tanúsítvány kibocsátójának neve melletti nyílra a további részletek megszerzéséhez, vagy kattintson a Tör lés gombra, ha hibát követett el, és újra szeretné feltölteni a fájlt. | ||||||||||
| 4 |
Átlátszó ellenőrzési vagy kifejezett proxy-k esetén kattintson a Pro xy kapcsolat ellenőrz ése gombra a Video Mesh csomópont és a proxy közötti hálózati kapcsolat teszteléséhez. Ha a kapcsolat tesztje sikertelen, hibaüzenet jelenik meg, amely megmutatja a probléma okát és a probléma kijavításának módját. | ||||||||||
| 5 |
Miután a csatlakozási teszt teljesült, az expressz proxy esetén kapcsolja be a kapcsolót a 443-as port https-kéréseinek továbbítása erre a csomópontról az expressz proxyn keresztül. Ennek a beállításnak 15 másodpercre van szüksége a hatályba lépéséhez. | ||||||||||
| 6 |
Kattintson az Összes tanúsítvány telepítése a megbízható áruházba (akkor jelenik meg, amikor a proxy telep ítése során gyökértanúsítványt adtak hozzá) vagy az Új ra indítás (ha nem adtak hozzá gyökértanúsítványt) elemre, olvassa el a felszólítást, majd kattintson a Telepítés gombra, ha készen áll. A csomópont néhány percen belül újraindul. | ||||||||||
| 7 |
Miután a csomópont újraindult, jelentkezzen be újra, ha szükséges, majd nyissa meg az Áttekin tés oldalt, hogy ellenőrizze a csatlakozási ellenőrzéseket, hogy megbizonyosodjon arról, hogy mindegyik zöld állapotban van-e. A proxykapcsolat ellenőrzése csak a webex.com altartományát teszteli. Ha kapcsolódási problémák merülnek fel, gyakori probléma az, hogy a telepítési utasításokban felsorolt felhőtartományok egy részét blokkolják a proxynál. |
Milyen forgalom megy keresztül a proxyn
A Video Mesh esetében a média nem halad át a proxyn. Ez a funkció jelátviteli és felügyeleti https-alapú forgalmat küld a proxy-nek. Továbbra is meg kell nyitnia a szükséges portokat, hogy a médiaadatfolyamok közvetlenül elérhessenek a felhőbe.
A TCP 444-es port nincs engedélyezve a proxyban
Ez a port követelmény a Video Mesh esetében, mivel a Video Mesh ezt a portot használja a felhőalapú szolgáltatások eléréséhez, amelyeket a megfelelő működéshez használnia kell. A Video Mesh telepítési útmutat ója és a Webex Teams Services hálózati követelményei dokumentáltak szerint proxy kivételt kell tenni erre a portra és BÁRMELYRE vonatkozóan.
A jelátviteli forgalom IP-cím szerinti szűrése nem támogatott, mivel megoldásaink által használt IP-címek dinamikusak és bármikor változhatnak.
Nincs telepítve gyökértanúsítvány
Amikor a csomópontok kifejezett proxyval beszélnek, telepítenie kell a gyökértanúsítványt, és be kell írnia egy kivételt az adott URL-hez a tűzfalon.
A kapcsolat ellenőrzése sikertelen
Ha a proxykapcsolat ellenőrzése befejeződött, és a proxy telepítése befejeződött, az áttekintő oldalon található kapcsolódási ellenőrzések továbbra is sikertelenek lehetnek az alábbi okok miatt:
-
A proxy ellenőrzi a forgalmat, amely nem megy a webex.com webhelyre.
-
A proxy blokkolja a webex.com-on kívüli domaineket.
A hitelesítési adatok helytelenek
Hitelesítési mechanizmust használó proxy esetén győződjön meg arról, hogy a csomóponthoz helyes hitelesítési adatokat adjon hozzá.
Torlódás a proxy-n
A proxy torlódása késleltetést és csökkenést okozhat a felhőbe jutó forgalom miatt. Ellenőrizze a proxy környezetet, hogy ellenőrizze, szükséges-e a forgalom csökkentése.
A Websocket nem tud csatlakozni a Squid Proxyn keresztül
A HTTPS-forgalmat ellenőrző Squid proxy zavarhatják a Hybrid Data Security által igényelt websocket (wss:) kapcsolatok létrehozását. Ezek a szakaszok útmutatást adnak arról, hogyan konfigurálhatja a Squid különböző verzióit, hogy figyelmen kívül hagyják a wss:forgalmat a szolgáltatások megfelelő működése érdekében.
4. és 5. tintahal
Adja hozzá az on_unsupported_protocolirányelvet a következőkh squid.conföz:
on_unsupported_protocol tunnel allTintahal 3.5.27
Sikeresen teszteltük a hibrid adatbiztonságot a következő szabályokkal squid.conf. Ezek a szabályok változhatnak, ahogy fejlesztjük a funkciókat és frissítjük a Webex felhőt.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
