Grazie per il feedback.
Supporto proxy per la sicurezza ibrida dei dati e la rete video
Feedback?Questa sezione descrive la funzionalità di supporto proxy per Hybrid Data Security. È destinato a integrare la Guida all'implementazione per la sicurezza Cisco Webex ibrida dei dati, disponibile all'indirizzo https://www.cisco.com/go/hybrid-data-security. In una nuova distribuzione, configura la configurazione del proxy su ogni nodo dopo aver caricato e montato l'ISO di configurazione HDS sul nodo e prima di registrare il nodo nel cloud. Cisco Webex
Hybrid Data Security supporta proxy espliciti e trasparenti di ispezione e non ispezione. Può collegare questi proxy alla sua implementazione in modo da proteggere e monitorare il traffico dall'azienda verso il cloud. Può utilizzare un'interfaccia di amministrazione della piattaforma sui nodi per la gestione dei certificati e per verificare lo stato generale della connettività dopo aver impostato il proxy sui nodi.
I nodi Hybrid Data Security supportano le seguenti opzioni proxy:
-
Nessun proxy: impostazione predefinita se non utilizza la configurazione del nodo HDS Trust Store & Proxy per integrare un proxy. Non è richiesto alcun aggiornamento del certificato.
-
Proxy trasparente non ispezionante: i nodi non sono configurati per utilizzare un indirizzo server proxy specifico e non dovrebbero richiedere alcuna modifica per funzionare con un proxy non ispezionante. Non è richiesto alcun aggiornamento del certificato.
-
Proxy di tunneling o ispezione trasparente: i nodi non sono configurati per utilizzare un indirizzo di server proxy specifico. Non sono necessarie modifiche alla configurazione HTTP o HTTPS sui nodi. Tuttavia, i nodi hanno bisogno di un certificato radice per fidarsi del proxy. I proxy di ispezione vengono in genere utilizzati dall'IT per applicare le politiche su quali siti Web possono essere visitati e quali tipi di contenuti non sono consentiti. Questo tipo di proxy decrittografa tutto il suo traffico (anche HTTPS).
-
Proxy esplicito: con il proxy esplicito, indica ai nodi HDS quale server proxy e schema di autenticazione utilizzare. Per configurare un proxy esplicito, deve inserire le seguenti informazioni su ogni nodo:
-
Proxy IP/FQDN: indirizzo che può essere utilizzato per raggiungere la macchina proxy.
-
Porta proxy: un numero di porta che il proxy utilizza per ascoltare il traffico proxy.
-
Protocollo proxy: a seconda di ciò che supporta il suo server proxy, scelga tra i seguenti protocolli:
-
HTTP: visualizza e controlla tutte le richieste inviate dal cliente.
-
HTTPS: fornisce un canale al server. Il cliente riceve e convalida il certificato del server.
-
-
Tipo di autenticazione: scelga tra i seguenti tipi di autenticazione:
-
Nessuna: non è richiesta un'ulteriore autenticazione.
Disponibile se seleziona HTTP o HTTPS come protocollo proxy.
-
Di base: utilizzato da un agente utente HTTP per fornire un nome utente e una password quando effettua una richiesta. Utilizza la codifica Base64.
Disponibile se seleziona HTTP o HTTPS come protocollo proxy.
Richiede di inserire il nome utente e la password su ogni nodo.
-
Digest: utilizzato per confermare l'account prima di inviare informazioni sensibili. Applica una funzione hash sul nome utente e sulla password prima dell'invio in rete.
Disponibile solo se seleziona HTTPS come protocollo proxy.
Richiede di inserire il nome utente e la password su ogni nodo.
-
-
Esempio di nodi e proxy ibridi per la sicurezza dei dati
Questo diagramma mostra un esempio di connessione tra Hybrid Data Security, rete e un proxy. Per le opzioni proxy di ispezione trasparente e di ispezione esplicita HTTPS, lo stesso certificato radice deve essere installato sul proxy e sui nodi Hybrid Data Security.
Modalità di risoluzione DNS esterna bloccata (configurazioni proxy esplicite)
Quando registra un nodo o controlla la configurazione del proxy del nodo, il processo verifica la ricerca DNS e la connettività al cloud. Cisco Webex Nelle implementazioni con configurazioni proxy esplicite che non consentono la risoluzione DNS esterna per i client interni, se il nodo non può interrogare i server DNS, passa automaticamente alla modalità Risoluzione DNS esterna bloccata. In questa modalità, possono procedere la registrazione dei nodi e altri test di connettività proxy.
-
Supportiamo ufficialmente le seguenti soluzioni proxy che possono integrarsi con i suoi nodi Hybrid Data Security.
-
Proxy trasparente: Cisco Web Security Appliance (WSA).
-
Proxy esplicito: Squid.
I proxy Squid che ispezionano il traffico HTTPS possono interferire con la creazione di connessioni websocket (wss:). Per ovviare a questo problema, veda Configurare i proxy Squid per la sicurezza ibrida dei dati.
-
-
Supportiamo le seguenti combinazioni di tipi di autenticazione per i proxy espliciti:
-
Nessuna autenticazione con HTTP o HTTPS
-
Autenticazione di base con HTTP o HTTPS
-
Autenticazione Digest solo con HTTPS
-
-
Per un proxy di ispezione trasparente o un proxy esplicito HTTPS, deve avere una copia del certificato principale del proxy. Le istruzioni di distribuzione contenute in questa guida Le spiegano come caricare la copia nei trust store dei nodi Hybrid Data Security.
-
La rete che ospita i nodi HDS deve essere configurata per forzare il traffico TCP in uscita sulla porta 443 a passare attraverso il proxy.
-
I proxy che controllano il traffico web possono interferire con le connessioni web socket. Se si verifica questo problema, bypassare (non ispezionare) il traffico
wbx2.comeciscospark.comrisolverà il problema.
Se l'ambiente di rete richiede un proxy, usi questa procedura per specificare il tipo di proxy che desidera integrare con Hybrid Data Security. Se sceglie un proxy di ispezione trasparente o un proxy esplicito HTTPS, può utilizzare l'interfaccia del nodo per caricare e installare il certificato radice. Può anche controllare la connessione proxy dall'interfaccia e risolvere eventuali problemi.
Prima che Lei cominci
-
Vedere Proxy Support per una panoramica delle opzioni proxy supportate.
| 1 |
Inserisca l'URL di configurazione del nodo HDS |
| 2 |
Vada su Trust Store & Proxy, quindi scelga un'opzione:
Segua i passaggi successivi per un proxy di ispezione trasparente, un proxy esplicito HTTP con autenticazione di base o un proxy esplicito HTTPS. |
| 3 |
Faccia clic su Carica un certificato radice o un certificato di entità finale, quindi acceda a scegliere il certificato radice per il proxy. Il certificato è stato caricato ma non ancora installato perché è necessario riavviare il nodo per installare il certificato. Faccia clic sulla freccia a forma di gallone accanto al nome dell'emittente del certificato per ottenere maggiori dettagli o faccia clic su Elimina se ha commesso un errore e desidera caricare nuovamente il file. |
| 4 |
Fai clic su Verifica connessione proxy per testare la connettività di rete tra il nodo e il proxy. Se il test di connessione fallisce, visualizzerà un messaggio di errore che mostra il motivo e come correggere il problema. Se vede un messaggio che dice che la risoluzione DNS esterna non è riuscita, il nodo non è riuscito a raggiungere il server DNS. Questa condizione è prevista in molte configurazioni proxy esplicite. Può continuare con la configurazione e il nodo funzionerà in modalità Risoluzione DNS esterna bloccata. Se ritiene che si tratti di un errore, completi questi passaggi e poi veda Disattiva la modalità di risoluzione DNS esterna bloccata. |
| 5 |
Una volta superato il test di connessione, solo per il proxy esplicito impostato su https, attiva l'interruttore su Instrada tutte le richieste https della porta 443/444 da questo nodo tramite il proxy esplicito. Questa impostazione richiede 15 secondi per avere effetto. |
| 6 |
Faccia clic su Installa tutti i certificati nel Trust Store (appare per un proxy esplicito HTTPS o un proxy di ispezione trasparente) o su Riavvia (appare per un proxy esplicito HTTP), legga il prompt e poi faccia clic su Installa se è pronto. Il nodo si riavvia entro pochi minuti. |
| 7 |
Dopo il riavvio del nodo, acceda nuovamente se necessario, quindi apra la pagina Panoramica per controllare i controlli di connettività e assicurarsi che siano tutti in verde. Il controllo della connessione proxy verifica solo un sottodominio di webex.com. Se ci sono problemi di connettività, un problema comune è che alcuni dei domini cloud elencati nelle istruzioni di installazione vengono bloccati dal proxy. |
Quando registra un nodo o controlla la configurazione del proxy del nodo, il processo verifica la ricerca DNS e la connettività al cloud. Cisco Webex Se il server DNS del nodo non è in grado di risolvere i nomi DNS pubblici, il nodo passa automaticamente alla modalità Risoluzione DNS esterna bloccata.
Se i suoi nodi sono in grado di risolvere i nomi DNS pubblici tramite server DNS interni, può disattivare questa modalità eseguendo nuovamente il test di connessione proxy su ogni nodo.
Prima che Lei cominci
| 1 |
In un browser web, apra l'interfaccia del nodo Hybrid Data Security (indirizzo/configurazione IP, ad esempio https://192.0.2.0/setup), inserisca le credenziali di amministratore che ha impostato per il nodo e poi faccia clic su Accedi. |
| 2 |
Vai alla panoramica (la pagina predefinita). 
Se abilitata, la risoluzione DNS esterna bloccata è impostata su Sì. |
| 3 |
Vai alla pagina Trust Store & Proxy. |
| 4 |
Faccia clic su Verifica connessione proxy. Se vede un messaggio che dice che la risoluzione DNS esterna non è riuscita, il nodo non è riuscito a raggiungere il server DNS e rimarrà in questa modalità. Altrimenti, dopo aver riavviato il nodo e essere tornato alla pagina Panoramica, la risoluzione DNS esterna bloccata dovrebbe essere impostata su no. |
Cosa fare dopo
Questa sezione descrive la funzionalità di supporto proxy per Webex Video Mesh. È destinato a integrare la Deployment Guide for Cisco Webex Video Mesh, disponibile all'indirizzo https://www.cisco.com/go/video-mesh. In una nuova distribuzione, configura la configurazione del proxy su ciascun nodo dopo aver distribuito il software Video Mesh su un ambiente di macchina virtuale e prima di registrare il nodo nel cloud. Cisco Webex
Video Mesh supporta proxy espliciti e trasparenti di ispezione e non ispezione. Può collegare questi proxy alla sua distribuzione Video Mesh in modo da proteggere e monitorare il traffico dall'azienda verso il cloud. Questa funzione invia il traffico di segnalazione e gestione basato su HTTPS al proxy. Per i proxy trasparenti, le richieste di rete provenienti dai nodi Video Mesh vengono inoltrate a un proxy specifico tramite le regole di routing della rete aziendale. Può utilizzare l'interfaccia di amministrazione di Video Mesh per la gestione dei certificati e lo stato generale della connettività dopo aver implementato il proxy con i nodi.
I media non viaggiano attraverso il proxy. Deve comunque aprire le porte richieste affinché i flussi multimediali raggiungano direttamente il cloud. Vedere Porte e protocolli per la gestione.
I seguenti tipi di proxy sono supportati da Video Mesh:
-
Proxy esplicito (ispezionante o non ispezionante): con un proxy esplicito, comunica al cliente (nodi Video Mesh) quale server proxy utilizzare. Questa opzione supporta uno dei seguenti tipi di autenticazione:
-
Nessuna: non è richiesta un'ulteriore autenticazione. (Per proxy esplicito HTTP o HTTPS.)
-
Di base: utilizzato da un user agent HTTP per fornire un nome utente e una password quando si effettua una richiesta e utilizza la codifica Base64. (Per proxy esplicito HTTP o HTTPS.)
-
Digest: utilizzato per confermare l'identità dell'account prima di inviare informazioni sensibili e applica una funzione hash sul nome utente e sulla password prima dell'invio in rete. (Per proxy esplicito HTTPS.)
-
NTLM: come Digest, NTLM viene utilizzato per confermare l'identità dell'account prima di inviare informazioni sensibili. Utilizza le credenziali di Windows invece del nome utente e della password. Questo schema di autenticazione richiede più scambi per essere completato. (Per proxy esplicito HTTP.)
-
-
Transparent Proxy (non ispezionante): i nodi Video Mesh non sono configurati per utilizzare un indirizzo server proxy specifico e non dovrebbero richiedere alcuna modifica per funzionare con un proxy non ispezionante.
-
Transparent Proxy (ispezione): i nodi Video Mesh non sono configurati per utilizzare un indirizzo server proxy specifico. Non sono necessarie modifiche alla configurazione http (s) su Video Mesh, tuttavia, i nodi Video Mesh necessitano di un certificato root in modo che si fidino del proxy. I proxy di ispezione vengono in genere utilizzati dall'IT per applicare le politiche relative ai siti Web che possono essere visitati e ai tipi di contenuti non consentiti. Questo tipo di proxy decrittografa tutto il suo traffico (anche https).
-
Supportiamo ufficialmente le seguenti soluzioni proxy che possono integrarsi con i suoi nodi Video Mesh.
-
Cisco Web Security Appliance (WSA) per proxy trasparente
-
Squid per delega esplicita
-
-
Per un proxy esplicito o un proxy di ispezione trasparente che ispeziona (decrittografa il traffico), deve avere una copia del certificato principale del proxy che dovrà caricare nel trust store del nodo Video Mesh sull'interfaccia web.
-
Supportiamo le seguenti combinazioni esplicite di proxy e tipi di autenticazione:
-
Nessuna autenticazione con http e https
-
Autenticazione di base con http e https
-
Autenticazione Digest solo con https
-
Autenticazione NTLM solo con http
-
-
Per i proxy trasparenti, deve utilizzare il router/switch per forzare il traffico HTTPS/443 ad andare al proxy. Può anche forzare Web Socket a passare al proxy. (Web Socket utilizza https.)
Video Mesh richiede connessioni web socket ai servizi cloud, in modo che i nodi funzionino correttamente. Per quanto riguarda l'ispezione esplicita e l'ispezione trasparente dei proxy, sono necessarie intestazioni http per una corretta connessione websocket. Se vengono modificati, la connessione websocket fallirà.
Quando si verifica un errore di connessione websocket sulla porta 443 (con il proxy di ispezione trasparente abilitato), viene visualizzato un avviso post-registrazione in Control Hub: «La chiamata SIP Webex Video Mesh non funziona correttamente». Lo stesso allarme può verificarsi per altri motivi quando il proxy non è abilitato. Quando le intestazioni websocket sono bloccate sulla porta 443, i contenuti multimediali non fluiscono tra app e client SIP.
Se i contenuti multimediali non fluiscono, ciò si verifica spesso quando il traffico https dal nodo sulla porta 443 non funziona:
-
Il traffico sulla porta 443 è consentito dal proxy, ma è un proxy di ispezione e sta rompendo il websocket.
Per correggere questi problemi, potrebbe dover «bypassare» o «unire» (disabilitare l'ispezione) sulla porta 443 verso: *.wbx2.com e *.ciscospark.com.
-
Usa questa procedura per specificare il tipo di proxy che desidera integrare con un Video Mesh. Se sceglie un proxy di ispezione trasparente o un proxy esplicito, può utilizzare l'interfaccia del nodo per caricare e installare il certificato radice, controllare la connessione proxy e risolvere eventuali problemi.
Prima che Lei cominci
-
Vedere Proxy Support for Video Mesh per una panoramica delle opzioni proxy supportate.
| 1 |
Inserisca l'URL di configurazione di Video Mesh | ||||||||||
| 2 |
Vada su Trust Store & Proxy, quindi scelga un'opzione:
Segua i passaggi successivi per un'ispezione trasparente o una delega esplicita. | ||||||||||
| 3 |
Fai clic su Carica un certificato radice o un certificato di entità finale, quindi individua e scegli il certificato radice per il proxy di ispezione esplicito o trasparente. Il certificato è stato caricato ma non ancora installato perché il nodo deve essere riavviato per installare il certificato. Faccia clic sulla freccia accanto al nome dell'emittente del certificato per avere maggiori dettagli o faccia clic su Elimina se ha commesso un errore e desidera caricare nuovamente il file. | ||||||||||
| 4 |
Per ispezioni trasparenti o proxy espliciti, faccia clic su Verifica connessione proxy per testare la connettività di rete tra il nodo Video Mesh e il proxy. Se il test di connessione fallisce, visualizzerà un messaggio di errore che mostra il motivo e come correggere il problema. | ||||||||||
| 5 |
Una volta superato il test di connessione, per il proxy esplicito, attiva l'interruttore su Instrada tutte le richieste https della porta 443 da questo nodo tramite il proxy esplicito. Questa impostazione richiede 15 secondi per avere effetto. | ||||||||||
| 6 |
Faccia clic su Installa tutti i certificati nel Trust Store (appare ogni volta che viene aggiunto un certificato root durante la configurazione del proxy) o su Riavvia (appare se non è stato aggiunto alcun certificato root), legga il prompt e poi faccia clic su Installa se è pronto. Il nodo si riavvia entro pochi minuti. | ||||||||||
| 7 |
Dopo il riavvio del nodo, acceda nuovamente se necessario, quindi apra la pagina Panoramica per controllare i controlli di connettività e assicurarsi che siano tutti in verde. Il controllo della connessione proxy verifica solo un sottodominio di webex.com. Se ci sono problemi di connettività, un problema comune è che alcuni dei domini cloud elencati nelle istruzioni di installazione vengono bloccati dal proxy. |
Quale traffico passa attraverso il proxy
Per Video Mesh, i contenuti multimediali non attraversano il proxy. Questa funzione invia il traffico di segnalazione e gestione basato su https al proxy. È comunque necessario aprire le porte richieste affinché i flussi multimediali raggiungano direttamente il cloud.
La porta TCP 444 non è abilitata sul proxy
Questa porta è un requisito per Video Mesh, perché Video Mesh utilizza questa porta per accedere ai servizi basati su cloud che deve utilizzare per funzionare correttamente. È necessario fare un'eccezione proxy per questa porta e ANY come documentato nella guida all'implementazione di Video Mesh e nei Requisiti di rete per i servizi Webex Teams.
Il filtraggio del traffico di segnalazione per indirizzo IP non è supportato poiché gli indirizzi IP utilizzati dalle nostre soluzioni sono dinamici e possono cambiare in qualsiasi momento.
Nessun certificato root installato
Quando i suoi nodi parlano con un proxy esplicito, deve installare il certificato root e inserire un'eccezione per quell'URL nel suo firewall.
Controllo della connettività non riuscito
Se il controllo della connettività del proxy è stato superato e l'installazione del proxy è stata completata, i controlli di connettività nella pagina di panoramica potrebbero comunque fallire per questi motivi:
-
Il proxy sta ispezionando il traffico che non arriva a webex.com.
-
Il proxy sta bloccando domini diversi da webex.com.
I dati di autenticazione non sono corretti
Per i proxy che utilizzano un meccanismo di autenticazione, si assicuri di aggiungere i dettagli di autenticazione corretti nel nodo.
Congestione sul proxy
La congestione sul suo proxy può causare ritardi e cali di traffico verso il cloud. Controlli il suo ambiente proxy per vedere se è necessaria la limitazione del traffico.
Websocket non può connettersi tramite Squid Proxy
I proxy Squid che ispezionano il traffico HTTPS possono interferire con la creazione di connessioni websocket (wss:) richieste da Hybrid Data Security. Queste sezioni forniscono indicazioni su come configurare le varie versioni di Squid per ignorare il wss:traffico per il corretto funzionamento dei servizi.
Calamari 4 e 5
Aggiunga la on_unsupported_protocoldirettiva a squid.conf:
on_unsupported_protocol tunnel allCalamari 3.5.27
Abbiamo testato con successo la sicurezza ibrida dei dati con l'aggiunta delle seguenti regole squid.conf. Queste regole sono soggette a modifiche man mano che sviluppiamo funzionalità e aggiorniamo il cloud Webex.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
