La sicurezza dei dati ibridi supporta proxy di ispezione e di verifica espliciti e trasparenti. È possibile legare questi proxy alla distribuzione in modo da poter proteggere e monitorare il traffico da Enterprise su cloud. È possibile utilizzare un'interfaccia di amministrazione della piattaforma sui nodi per gestione certificati e verificare lo stato generale della connettività dopo aver impostato il proxy sui nodi.

I nodi di sicurezza dei dati ibridi supportano le seguenti opzioni di proxy:

• Nessun proxy— L'impostazione predefinita se non si utilizza l'archivio attendibile della configurazione del nodo HDS & Configurazione del proxy per integrare un proxy. Nessun aggiornamento certificato richiesto.

• Proxy trasparente non ispezionante—I nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non dovrebbero richiedere alcuna modifica per funzionare con un proxy non ispezionante. Nessun aggiornamento certificato richiesto.

• Tunneling trasparente o proxy di ispezione—I nodi non sono configurati per utilizzare uno specifico indirizzo del server proxy. Non sono necessarie modifiche di configurazione HTTP o HTTPS sui nodi. Tuttavia, i nodi necessitano di un certificato radice in modo che si fidino del proxy. I proxy di ispezione vengono solitamente utilizzati per applicare i criteri su quali siti Web possono essere visitati e quali tipi di contenuto non sono consentiti. Questo tipo di proxy decrittografa tutto il traffico (anche HTTPS).

• Proxy esplicito—Con il proxy esplicito, si indica ai nodi HDS quale server proxy e schema di autenticazione utilizzare. Per configurare un proxy esplicito, è necessario immettere le seguenti informazioni su ciascun nodo:

  1. Proxy IP/FQDN—Indirizzo utilizzabile per raggiungere la macchina proxy.

  2. Porta proxy— Un numero di porta che il proxy utilizza per rimanere in ascolto del traffico instradato tramite proxy.

  3. Protocollo proxy— A seconda di ciò che supporta il tuo server proxy, scegli tra i seguenti protocolli:

     • HTTP — Visualizza e controlla tutte le richieste che il client invia.

     • HTTPS — fornisce un canale al server. Il client riceve e convalida il certificato del server.

  4. Tipo di autenticazione—Scegli tra i seguenti tipi di autenticazione:

     • Nessuno—Non è richiesta alcuna ulteriore autenticazione.

       Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

     • Base— Utilizzato da un agente utente HTTP per fornire un nome utente e una password quando si effettua una richiesta. Utilizza la codifica Base64.

       Disponibile se si seleziona HTTP o HTTPS come protocollo proxy.

       Richiede l'inserimento del nome utente e della password su ciascun nodo.

     • Digest— Utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e sulla password prima di inviarlo attraverso la rete.

       Disponibile solo se si seleziona HTTPS come protocollo proxy.

       Richiede l'inserimento del nome utente e della password su ciascun nodo.

Esempio di nodi e proxy di sicurezza dei dati ibridi

Questo diagramma mostra un esempio di connessione tra la sicurezza dei dati ibridi, la rete e un proxy. Per le opzioni di ispezione trasparenti e proxy esplicito di verifica HTTPS, è necessario installare lo stesso certificato radice sul proxy e sui nodi di sicurezza dei dati ibridi.

Modalità di risoluzione DNS esterna bloccata (configurazioni proxy esplicite)

Quando si registra un nodo o si controlla la configurazione del proxy del nodo, il processo verifica lo sguardo e la connettività DNS con il cloud Cisco Webex. Nelle distribuzioni con configurazioni proxy esplicite che non consentono la risoluzione DNS esterna per i client interni, se il nodo non riesce a eseguire query sui server DNS, passa automaticamente alla modalità di risoluzione DNS esterna bloccata. In questa modalità, è possibile procedere all'iscrizione dei nodi e ad altri test di connettività proxy.

• Supportiamo ufficialmente le seguenti soluzioni proxy che possono integrarsi con i nodi di sicurezza dei dati ibridi.

  • Proxy trasparente — Cisco Web Security Appliance (WSA).

  • Proxy esplicito-calamaro.

    I proxy Squid che ispezionano il traffico HTTPS possono interferire con la creazione di websocket (wss:) connessioni. Per ovviare a questo problema, consultare Configurare i proxy Squid per la sicurezza dei dati ibridi.

• Sono supportate le seguenti combinazioni di tipi di autenticazione per proxy espliciti:

  • Nessuna autenticazione con HTTP o HTTPS

  • Autenticazione di base con HTTP o HTTPS

  • Autenticazione digest solo con HTTPS

• Per un proxy di ispezione trasparente o un proxy esplicito HTTPS, è necessario disporre di una copia del certificato radice del proxy. Le istruzioni per la distribuzione in questa guida consentono di caricare la copia negli archivi attendibili dei nodi di sicurezza dei dati ibridi.

• La rete che ospita i nodi HDS deve essere configurata per forzare il traffico TCP in uscita sulla porta 443 per instradare il proxy.

• I proxy che controllano il traffico Web possono interferire con le connessioni socket Web. Se si verifica questo problema, ignorare (non ispezionare) il traffico verso wbx2.com e ciscospark.com risolverà il problema.