ハイブリッドデータセキュリティとビデオメッシュのプロキシサポート

このセクションでは、ハイブリッドデータセキュリティのプロキシサポート機能について説明します。これは、https://www.cisco.com/go/hybrid-data-security Cisco Webex で入手できるハイブリッドデータセキュリティの導入ガイドを補足することを目的としています。新しい展開では、HDS構成ISOをノードにアップロードしてマウントした後、ノードをクラウドに登録する前に、各ノードでプロキシ設定を構成します。Cisco Webex

プロキシサポート

ハイブリッドデータセキュリティは、明示的で透明な検査プロキシと非検査プロキシをサポートしています。これらのプロキシをデプロイメントに結び付けて、企業からクラウドへのトラフィックを保護し、監視することができます。ノードにプロキシを設定した後は、ノード上のプラットフォーム管理インターフェイスを使用して証明書を管理したり、全体的な接続状態を確認したりできます。

ハイブリッドデータセキュリティノードは、次のプロキシオプションをサポートしています。

プロキシなし — HDSノードセットアップのトラストストアとプロキシ設定を使用してプロキシを統合しない場合のデフォルト。証明書を更新する必要はありません。
透明な非検査プロキシ —ノードは特定のプロキシサーバーアドレスを使用するように構成されていないため、検査対象外のプロキシと連携するように変更する必要はありません。証明書を更新する必要はありません。
トランスペアレントトンネリングまたはインスペクションプロキシ —ノードは特定のプロキシサーバーアドレスを使用するように構成されていません。ノードでHTTPやHTTPSの設定を変更する必要はありません。ただし、ノードがプロキシを信頼するためにはルート証明書が必要です。検査プロキシは通常、IT部門がどのウェブサイトにアクセスできるか、どの種類のコンテンツが許可されないかについてのポリシーを適用するために使用されます。このタイプのプロキシは、すべてのトラフィック（HTTPSを含む）を復号化します。
明示的なプロキシ — 明示的なプロキシでは、どのプロキシサーバーと認証スキームを使用するかをHDSノードに伝えます。明示的なプロキシを設定するには、各ノードに次の情報を入力する必要があります。
1. プロキシIP/FQDN — プロキシマシンへの接続に使用できるアドレス。
2. プロキシポート — プロキシがプロキシされたトラフィックをリッスンするために使用するポート番号。
3. プロキシプロトコル —プロキシサーバーがサポートするものに応じて、次のプロトコルから選択してください。
  - http—クライアントが送信するすべてのリクエストを表示して制御します。
  - https—サーバーへのチャネルを提供します。クライアントはサーバーの証明書を受け取り、検証します。
4. 認証タイプ — 次の認証タイプから選択してください。
  - なし —これ以上の認証は必要ありません。
    
    プロキシプロトコルとしてHTTPまたはHTTPSを選択すると利用可能です。
  - Basic —HTTP ユーザーエージェントがリクエスト時にユーザー名とパスワードを提供するために使用されます。 Base64エンコーディングを使用しています。
    
    プロキシプロトコルとしてHTTPまたはHTTPSを選択すると利用可能です。
    
    各ノードでユーザー名とパスワードを入力する必要があります。
  - ダイジェスト —機密情報を送信する前にアカウントを確認するために使用されます。ネットワークに送信する前に、ユーザー名とパスワードにハッシュ関数を適用します。
    
    プロキシプロトコルとしてHTTPSを選択した場合にのみ使用できます。
    
    各ノードでユーザー名とパスワードを入力する必要があります。

ハイブリッドデータセキュリティノードとプロキシの例

この図は、ハイブリッドデータセキュリティ、ネットワーク、プロキシ間の接続例を示しています。トランスペアレントインスペクションとHTTPSエクスプリシットインスペクションのプロキシオプションでは、プロキシとハイブリッドデータセキュリティノードに同じルート証明書をインストールする必要があります。

Diagram showing an example connection between the Hybrid Data Security, network and a proxy.

ブロックされた外部DNS解決モード（明示的なプロキシ構成）

ノードを登録したり、ノードのプロキシ設定を確認したりすると、DNSルックアップとクラウドへの接続がテストされますCisco Webex。内部クライアントの外部DNS解決を許可しない明示的なプロキシ構成の展開では、ノードがDNSサーバーにクエリできない場合、自動的にブロックされた外部DNS解決モードになります。このモードでは、ノード登録やその他のプロキシ接続テストを続行できます。

プロキシサーバーの要件

ハイブリッドデータセキュリティノードと統合できる次のプロキシソリューションを正式にサポートしています。
- トランスペアレントプロキシ：Cisco Web セキュリティアプライアンス（WSA）。
- 明示的なプロキシ—SQUIDです。
  
  HTTPSトラフィックを検査するSquidプロキシは、Websocket (wss:) 接続の確立を妨げる可能性があります。この問題を回避するには、「ハイブリッドデータセキュリティ用の Squid Proxy の設定」を参照してください。
明示的なプロキシでは、次の認証タイプの組み合わせをサポートしています。
- HTTP または HTTPS による認証はありません
- HTTP または HTTPS によるベーシック認証
- HTTPSのみによるダイジェスト認証
透明検査プロキシまたはHTTPS明示プロキシの場合は、プロキシのルート証明書のコピーが必要です。このガイドのデプロイ手順では、ハイブリッドデータセキュリティノードのトラストストアにコピーをアップロードする方法を説明しています。
HDSノードをホストするネットワークは、ポート443のアウトバウンドTCPトラフィックがプロキシ経由でルーティングされるように設定する必要があります。
ウェブトラフィックを検査するプロキシは、ウェブソケット接続を妨害する可能性があります。この問題が発生した場合は、wbx2.comへのトラフィックを（検査せずに）ciscospark.comバイパスすることで問題を解決できます。

プロキシ統合用にHDSノードを設定してください

ネットワーク環境にプロキシが必要な場合は、この手順を使用して、ハイブリッドデータセキュリティと統合するプロキシの種類を指定してください。透過検査プロキシまたはHTTPS明示プロキシを選択した場合は、ノードのインターフェイスを使用してルート証明書をアップロードおよびインストールできます。また、インターフェイスからプロキシ接続を確認し、潜在的な問題をトラブルシューティングすることもできます。

始める前に

サポートされているプロキシオプションの概要については、プロキシサポートを参照してください。
プロキシサーバーの要件

1	`https://[HDS Node IP or FQDN]/setup`HDSノードの設定URLをウェブブラウザに入力し、ノードに設定した管理者資格情報を入力して、「サインイン」をクリックします。
2	トラストストアとプロキシに行き、オプションを選んでください：プロキシなし — プロキシを統合する前のデフォルトのオプションです。証明書を更新する必要はありません。透明な非検査プロキシ —ノードは特定のプロキシサーバーアドレスを使用するように構成されていないため、検査対象外のプロキシで動作するように変更する必要はありません。証明書を更新する必要はありません。トランスペアレント・インスペクション・プロキシ —ノードは特定のプロキシ・サーバー・アドレスを使用するように構成されていません。ハイブリッドデータセキュリティの導入ではHTTPS設定を変更する必要はありませんが、HDSノードがプロキシを信頼するためにはルート証明書が必要です。検査プロキシは通常、IT部門がどのウェブサイトにアクセスできるか、どの種類のコンテンツが許可されないかについてのポリシーを適用するために使用されます。このタイプのプロキシは、すべてのトラフィック（HTTPSを含む）を復号化します。明示的なプロキシ — 明示的なプロキシでは、どのプロキシサーバーを使用するかをクライアント（HDSノード）に伝えます。このオプションはいくつかの認証タイプをサポートします。このオプションを選択したら、次の情報を入力する必要があります。プロキシIP/FQDN — プロキシマシンへの接続に使用できるアドレス。プロキシポート — プロキシがプロキシされたトラフィックをリッスンするために使用するポート番号。プロキシプロトコル — http（クライアントから受信したすべてのリクエストを表示して制御する）またはhttps（サーバーにチャネルを提供し、クライアントがサーバーの証明書を受信して検証する）を選択します。プロキシサーバーがサポートしている内容に基づいてオプションを選択してください。認証タイプ — 次の認証タイプから選択してください。なし —これ以上の認証は必要ありません。 HTTP または HTTPS プロキシで使用できます。 Basic —HTTP ユーザーエージェントがリクエスト時にユーザー名とパスワードを提供するために使用されます。 Base64エンコーディングを使用しています。 HTTP または HTTPS プロキシで使用できます。このオプションを選択した場合は、ユーザー名とパスワードも入力する必要があります。ダイジェスト —機密情報を送信する前にアカウントを確認するために使用されます。ネットワークに送信する前に、ユーザー名とパスワードにハッシュ関数を適用します。 HTTPSプロキシでのみ利用可能です。このオプションを選択した場合は、ユーザー名とパスワードも入力する必要があります。透明な検査プロキシ、基本認証のHTTP明示プロキシ、またはHTTPS明示プロキシの場合は、次の手順に従ってください。
3	「ルート証明書をアップロード」または「エンドエンティティ証明書をアップロード」をクリックし、プロキシのルート証明書を選択してください。証明書をインストールするにはノードを再起動する必要があるため、証明書はアップロードされていますが、まだインストールされていません。証明書発行者名の横にある山形の矢印をクリックして詳細を確認するか、間違えてファイルを再アップロードしたい場合は、[削除] をクリックしてください。
4	ノードとプロキシ間のネットワーク接続をテストするには、「プロキシ接続を確認」をクリックしてください。接続テストが失敗すると、理由と問題を解決する方法を示すエラーメッセージが表示されます。外部DNS解決が成功しなかったというメッセージが表示された場合、ノードはDNSサーバーにアクセスできませんでした。この状態は、多くの明示的なプロキシ構成で予想されます。セットアップを続行すると、ノードはブロックされた外部DNS解決モードで機能します。これがエラーだと思われる場合は、次の手順を実行して、「ブロックされた外部DNS解決モードを無効にする」を参照してください。
5	接続テストに合格したら、明示的なプロキシをhttpsのみに設定して、このノードからのすべてのポート443/444のhttpsリクエストを明示的なプロキシ経由でルーティングするように切り替えます。この設定は有効になるまでに15秒かかります。
6	「すべての証明書をトラストストアにインストール」（HTTPS明示プロキシまたは透過検査プロキシの場合は表示）または「再起動」（HTTP明示プロキシの場合は表示）をクリックし、プロンプトを読み、準備ができたら「インストール」をクリックします。ノードは数分以内に再起動します。
7	ノードが再起動したら、必要に応じて再度サインインし、概要ページを開いて接続チェックをチェックし、すべてが緑色になっていることを確認します。プロキシ接続チェックは、webex.comのサブドメインのみをテストします。接続に問題がある場合、よくある問題は、インストール手順に記載されているクラウドドメインの一部がプロキシでブロックされていることです。

ブロックされた外部DNS解決モードを無効にする

ノードを登録したり、ノードのプロキシ設定を確認したりすると、DNSルックアップとクラウドへの接続がテストされますCisco Webex。ノードのDNSサーバーがパブリックDNS名を解決できない場合、ノードは自動的にブロックされた外部DNS解決モードになります。

ノードが内部DNSサーバーを介してパブリックDNS名を解決できる場合は、各ノードでプロキシ接続テストを再実行して、このモードをオフにできます。

始める前に

内部DNSサーバーがパブリックDNS名を解決でき、ノードがパブリックDNS名と通信できることを確認してください。

1	ウェブブラウザで、ハイブリッドデータセキュリティノードのインターフェイス（IPアドレス/セットアップ、たとえば https://192.0.2.0/setup）を開き、ノードに設定した管理者資格情報を入力して、「サインイン」をクリックします。
2	概要（デフォルトページ）に移動します。有効にすると、ブロックされた外部DNS解決は「はい」に設定されます。
3	トラストストアとプロキシのページに行ってください。
4	「プロキシ接続を確認」をクリックします。外部DNS解決が失敗したというメッセージが表示された場合、ノードはDNSサーバーにアクセスできず、このモードのままになります。それ以外の場合は、ノードを再起動して概要ページに戻ったら、ブロックされた外部DNS解決は「いいえ」に設定する必要があります。

次にすべきこと

ハイブリッドデータセキュリティクラスターの各ノードでプロキシ接続テストを繰り返してください。

このセクションでは、Webex Video Meshのプロキシサポート機能について説明します。これは、https://www.cisco.com/go/video-mesh Cisco Webex で入手できるビデオメッシュの導入ガイドを補足することを目的としています。新規導入では、Video Meshソフトウェアを仮想マシン環境に展開した後、ノードをクラウドに登録する前に、各ノードでプロキシ設定を行います。Cisco Webex

ビデオメッシュのプロキシサポート

ビデオメッシュは、明示的で透明な検査プロキシと非検査プロキシをサポートしています。これらのプロキシをビデオメッシュの導入環境に接続して、企業からクラウドへのトラフィックを保護および監視できます。この機能は、シグナリングと管理のhttpsベースのトラフィックをプロキシに送信します。トランスペアレントプロキシの場合、ビデオメッシュノードからのネットワーク要求は、企業のネットワークルーティングルールを通じて特定のプロキシに転送されます。ノードにプロキシを実装した後は、ビデオメッシュの管理インターフェイスを使用して証明書を管理したり、全体的な接続状態を確認したりできます。

メディアはプロキシを経由しません。メディアストリームがクラウドに直接到達するには、まだ必要なポートを開く必要があります。管理用ポートとプロトコルを参照してください。

ビデオメッシュでは、次のプロキシタイプがサポートされています。

明示的なプロキシ（検査中または検査しない）—明示的なプロキシでは、どのプロキシサーバーを使用するかをクライアント（ビデオメッシュノード）に伝えます。このオプションは、次の認証タイプのいずれかをサポートします。
- なし-これ以上の認証は必要ありません。（HTTP または HTTPS エクスプリシットプロキシの場合。）
- Basic—HTTPユーザーエージェントがリクエストを行うときにユーザー名とパスワードを提供するために使用され、Base64エンコーディングを使用します。（HTTP または HTTPS エクスプリシットプロキシの場合。）
- ダイジェスト—機密情報を送信する前にアカウントの身元を確認するために使用され、ネットワーク経由で送信する前にユーザー名とパスワードにハッシュ関数を適用します。（HTTPS明示プロキシの場合。）
- NTLM—ダイジェストと同様に、NTLMは機密情報を送信する前にアカウントの身元を確認するために使用されます。ユーザー名とパスワードの代わりにWindowsの資格情報を使用します。この認証スキームを完了するには複数の交換が必要です。（HTTP明示プロキシの場合。）
トランスペアレントプロキシ（検査なし）：ビデオメッシュノードは、特定のプロキシサーバーアドレスを使用するようには構成されていないため、検査対象外のプロキシで動作するように変更する必要はありません。
トランスペアレントプロキシ（検査中）—ビデオメッシュノードは、特定のプロキシサーバーアドレスを使用するように設定されていません。ビデオメッシュではhttp (s) の設定を変更する必要はありませんが、ビデオメッシュノードがプロキシを信頼するためにはルート証明書が必要です。検査プロキシは通常、IT部門がどのウェブサイトにアクセスできるか、許可されていないコンテンツの種類に関するポリシーを適用するために使用されます。このタイプのプロキシは、すべてのトラフィック（httpsも含む）を復号化します。

ビデオメッシュのプロキシサポートの要件

ビデオメッシュノードと統合できる次のプロキシソリューションを正式にサポートしています。
- トランスペアレントプロキシ用のCisco Webセキュリティアプライアンス（WSA）
- 明示的なプロキシ用のSquidです
トラフィックを検査（復号化）する明示的なプロキシまたは透明な検査プロキシの場合は、Webインターフェイスのビデオメッシュノードのトラストストアにアップロードする必要があるプロキシのルート証明書のコピーが必要です。
次の明示的なプロキシと認証タイプの組み合わせをサポートしています。
- httpとhttpsでは認証はできません
- http と https を使ったベーシック認証
- httpsのみによるダイジェスト認証
- httpのみのNTLM認証です
トランスペアレントプロキシでは、ルーター/スイッチを使用して、HTTPS/443トラフィックを強制的にプロキシに送る必要があります。 Web Socketを強制的にプロキシに移行させることもできます。 (ウェブソケットはhttpsを使用します。)
ビデオメッシュでは、ノードが正しく機能するために、クラウドサービスへのWebソケット接続が必要です。プロキシの明示的な検査と透過的な検査では、適切なWebSocket接続にhttpヘッダーが必要です。それらが変更された場合、WebSocket接続は失敗します。

WebSocket接続障害がポート443（トランスペアレントインスペクションプロキシが有効になっている）で発生すると、Control Hub に登録後に警告が表示されます。「Webex Video Mesh SIP通話が正しく機能していません。」プロキシが有効になっていないと、他の理由で同じアラームが発生する可能性があります。 WebSocketヘッダーがポート443でブロックされている場合、メディアはアプリとSIPクライアントの間を流れません。

メディアが流れていない場合は、ポート443を介したノードからのhttpsトラフィックが失敗したときによく起こります。

ポート443のトラフィックはプロキシで許可されていますが、検査中のプロキシであり、WebSocketが壊れています。

これらの問題を解決するには、ポート443を*.wbx2.comと*.ciscospark.comに「バイパス」または「接続」（検査を無効にする）必要がある場合があります。

プロキシ統合用のビデオメッシュノードの設定

この手順を使用して、ビデオメッシュと統合するプロキシの種類を指定してください。透過的な検査プロキシまたは明示的なプロキシを選択した場合は、ノードのインターフェースを使用してルート証明書をアップロードしてインストールしたり、プロキシ接続を確認したり、潜在的な問題のトラブルシューティングを行うことができます。

始める前に

サポートされているプロキシオプションの概要については、ビデオメッシュのプロキシサポートを参照してください。
ビデオメッシュのプロキシサポートの要件

https://[IP or FQDN/setupWebブラウザにビデオメッシュのセットアップURLを入力し、ノードに設定した管理者資格情報を入力して、「サインイン」をクリックします。

トラストストアとプロキシに行き、オプションを選んでください：

プロキシなし — プロキシを統合する前のデフォルトのオプションです。証明書を更新する必要はありません。
透明な非検査プロキシ：ビデオメッシュノードは、特定のプロキシサーバーアドレスを使用するようには構成されていないため、検査対象外のプロキシと連携するために変更を加える必要はありません。証明書を更新する必要はありません。
トランスペアレント・インスペクション・プロキシ：ビデオ・メッシュ・ノードは、特定のプロキシ・サーバー・アドレスを使用するようには構成されていません。ビデオメッシュではhttp (s) の設定を変更する必要はありません。ただし、ビデオメッシュノードがプロキシを信頼するためにはルート証明書が必要です。検査プロキシは通常、IT部門がどのウェブサイトにアクセスできるか、許可されていないコンテンツの種類に関するポリシーを適用するために使用されます。このタイプのプロキシは、すべてのトラフィック（httpsも含む）を復号化します。

明示的なプロキシ：明示的なプロキシでは、どのプロキシサーバーを使用するかをクライアント（ビデオメッシュノード）に伝えます。このオプションはいくつかの認証タイプをサポートします。このオプションを選択したら、次の情報を入力する必要があります。

プロキシIP/FQDN — プロキシマシンへの接続に使用できるアドレス。
プロキシポート — プロキシがプロキシされたトラフィックをリッスンするために使用するポート番号。
プロキシプロトコル — http（ビデオメッシュはhttpsトラフィックをhttpプロキシ経由でトンネリングします）またはhttps（ビデオメッシュノードからプロキシへのトラフィックはhttpsプロトコルを使用します）を選択します。プロキシサーバーがサポートしている内容に基づいてオプションを選択してください。

プロキシ環境に応じて、次の認証タイプから選択してください。

オプション	使い方
何もありません	認証方法がないHTTPまたはHTTPSの明示的なプロキシを選択してください。
ベーシック	HTTPまたはHTTPS明示プロキシで使用できます。 HTTPユーザーエージェントがリクエスト時にユーザー名とパスワードを提供するために使用され、Base64エンコーディングを使用します。
ダイジェスト	HTTPSの明示的なプロキシでのみ利用可能です。機密情報を送信する前にアカウントを確認するために使用され、ネットワーク経由で送信する前にユーザー名とパスワードにハッシュ関数を適用します。
NTLM	HTTP 明示的なプロキシでのみ使用できます。 Digestのように、機密情報を送信する前にアカウントを確認するために使用されます。ユーザー名とパスワードの代わりにWindowsの資格情報を使用します。このオプションを選択した場合は、Active Directoryプロキシが認証に使用するドメインを「NTLM Domain」フィールドに入力します。指定した NTLM ドメイン内のプロキシワークステーション（ワークステーションアカウントまたはマシンアカウントとも呼ばれます）の名前を「NTLM ワークステーション」フィールドに入力します。

透明な検査または明示的なプロキシについては、次のステップに従ってください。

「ルート証明書またはエンドエンティティ証明書をアップロード」をクリックし、明示的または透明な検査プロキシのルート証明書を見つけて選択します。

証明書をインストールするにはノードを再起動する必要があるため、証明書はアップロードされていますが、まだインストールされていません。証明書発行者名の横にある矢印をクリックして詳細を表示するか、間違えてファイルを再アップロードしたい場合は、[削除] をクリックしてください。

透過的な検査や明示的なプロキシの場合は、「プロキシ接続を確認」をクリックして、ビデオメッシュノードとプロキシ間のネットワーク接続をテストしてください。

接続テストが失敗すると、理由と問題を解決する方法を示すエラーメッセージが表示されます。

接続テストに合格したら、明示的なプロキシの場合は、「このノードからのポート443のhttpsリクエストをすべて明示的なプロキシ経由でルーティングする」に切り替えます。この設定は有効になるまでに15秒かかります。

[すべての証明書をトラストストアにインストール]（プロキシの設定中にルート証明書が追加されたときに表示されます）または [再起動]（ルート証明書が追加されていない場合に表示されます）をクリックし、プロンプトを読み、準備ができたら [インストール] をクリックします。

ノードは数分以内に再起動します。

ノードが再起動したら、必要に応じて再度サインインし、概要ページを開いて接続チェックをチェックし、すべてが緑色になっていることを確認します。

プロキシ接続チェックは、webex.comのサブドメインのみをテストします。接続に問題がある場合、よくある問題は、インストール手順に記載されているクラウドドメインの一部がプロキシでブロックされていることです。

プロキシの問題

プロキシを経由するトラフィック

ビデオメッシュの場合、メディアはプロキシを通過しません。この機能は、シグナリングと管理のHTTPSベースのトラフィックをプロキシに送信します。メディアストリームがクラウドに直接到達するには、引き続き必要なポートを開く必要があります。

TCPポート444がプロキシで有効になっていません

このポートはビデオメッシュの要件です。ビデオメッシュは、正しく機能するために使用する必要のあるクラウドベースのサービスにアクセスするためにこのポートを使用するからです。ビデオメッシュ導入ガイドとWebex Teamsサービスのネットワーク要件に記載されているように、このポートとANYにはプロキシ例外を設定する必要があります。

当社のソリューションで使用されるIPアドレスは動的であり、いつでも変更される可能性があるため、IPアドレスによるシグナリングトラフィックのフィルタリングはサポートされていません。

ルート証明書がインストールされていません

ノードが明示的なプロキシと通信するときは、ルート証明書をインストールし、そのURLの例外をファイアウォールに入力する必要があります。

接続チェックが失敗します

プロキシ接続チェックに合格し、プロキシのインストールが完了した場合でも、概要ページの接続チェックは次の理由で失敗する可能性があります。

プロキシは webex.com に送られないトラフィックを検査しています。
プロキシはwebex.com以外のドメインをブロックしています。

認証の詳細が間違っています

認証メカニズムを使用するプロキシの場合は、ノードに正しい認証情報を追加してください。

プロキシの混雑

プロキシの混雑により、クラウドへのトラフィックが遅れたり低下したりする可能性があります。プロキシ環境をチェックして、トラフィック調整が必要かどうかを確認してください。

WebSocketはSquidプロキシ経由で接続できません

HTTPSトラフィックを検査するSquidプロキシは、ハイブリッドデータセキュリティが必要とするwebsocket (wss:) 接続の確立を妨げる可能性があります。これらのセクションでは、wss:サービスを正しく動作させるためにトラフィックを無視するようにさまざまなバージョンのSquidを設定する方法について説明します。

イカ4と5

on_unsupported_protocolこの指令を次の場所に追加してくださいsquid.conf:

on_unsupported_protocol tunnel all

イカ 3.5.27

に次のルールを追加して、squid.confハイブリッドデータセキュリティのテストに成功しました。これらのルールは、機能を開発し、Webex クラウドを更新するにつれて変更される可能性があります。

acl wssMercuryConnection ssl::server_name_regex mercury-connection

ssl_bump splice wssMercuryConnection

acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all

1	`https://[HDS Node IP or FQDN]/setup`HDSノードの設定URLをウェブブラウザに入力し、ノードに設定した管理者資格情報を入力して、「サインイン」をクリックします。
2	トラストストアとプロキシに行き、オプションを選んでください：プロキシなし — プロキシを統合する前のデフォルトのオプションです。証明書を更新する必要はありません。透明な非検査プロキシ —ノードは特定のプロキシサーバーアドレスを使用するように構成されていないため、検査対象外のプロキシで動作するように変更する必要はありません。証明書を更新する必要はありません。トランスペアレント・インスペクション・プロキシ —ノードは特定のプロキシ・サーバー・アドレスを使用するように構成されていません。ハイブリッドデータセキュリティの導入ではHTTPS設定を変更する必要はありませんが、HDSノードがプロキシを信頼するためにはルート証明書が必要です。検査プロキシは通常、IT部門がどのウェブサイトにアクセスできるか、どの種類のコンテンツが許可されないかについてのポリシーを適用するために使用されます。このタイプのプロキシは、すべてのトラフィック（HTTPSを含む）を復号化します。明示的なプロキシ — 明示的なプロキシでは、どのプロキシサーバーを使用するかをクライアント（HDSノード）に伝えます。このオプションはいくつかの認証タイプをサポートします。このオプションを選択したら、次の情報を入力する必要があります。プロキシIP/FQDN — プロキシマシンへの接続に使用できるアドレス。プロキシポート — プロキシがプロキシされたトラフィックをリッスンするために使用するポート番号。プロキシプロトコル — http（クライアントから受信したすべてのリクエストを表示して制御する）またはhttps（サーバーにチャネルを提供し、クライアントがサーバーの証明書を受信して検証する）を選択します。プロキシサーバーがサポートしている内容に基づいてオプションを選択してください。認証タイプ — 次の認証タイプから選択してください。なし —これ以上の認証は必要ありません。 HTTP または HTTPS プロキシで使用できます。 Basic —HTTP ユーザーエージェントがリクエスト時にユーザー名とパスワードを提供するために使用されます。 Base64エンコーディングを使用しています。 HTTP または HTTPS プロキシで使用できます。このオプションを選択した場合は、ユーザー名とパスワードも入力する必要があります。ダイジェスト —機密情報を送信する前にアカウントを確認するために使用されます。ネットワークに送信する前に、ユーザー名とパスワードにハッシュ関数を適用します。 HTTPSプロキシでのみ利用可能です。このオプションを選択した場合は、ユーザー名とパスワードも入力する必要があります。透明な検査プロキシ、基本認証のHTTP明示プロキシ、またはHTTPS明示プロキシの場合は、次の手順に従ってください。
3	「ルート証明書をアップロード」または「エンドエンティティ証明書をアップロード」をクリックし、プロキシのルート証明書を選択してください。証明書をインストールするにはノードを再起動する必要があるため、証明書はアップロードされていますが、まだインストールされていません。証明書発行者名の横にある山形の矢印をクリックして詳細を確認するか、間違えてファイルを再アップロードしたい場合は、[削除] をクリックしてください。
4	ノードとプロキシ間のネットワーク接続をテストするには、「プロキシ接続を確認」をクリックしてください。接続テストが失敗すると、理由と問題を解決する方法を示すエラーメッセージが表示されます。外部DNS解決が成功しなかったというメッセージが表示された場合、ノードはDNSサーバーにアクセスできませんでした。この状態は、多くの明示的なプロキシ構成で予想されます。セットアップを続行すると、ノードはブロックされた外部DNS解決モードで機能します。これがエラーだと思われる場合は、次の手順を実行して、「ブロックされた外部DNS解決モードを無効にする」を参照してください。
5	接続テストに合格したら、明示的なプロキシをhttpsのみに設定して、このノードからのすべてのポート443/444のhttpsリクエストを明示的なプロキシ経由でルーティングするように切り替えます。この設定は有効になるまでに15秒かかります。
6	「すべての証明書をトラストストアにインストール」（HTTPS明示プロキシまたは透過検査プロキシの場合は表示）または「再起動」（HTTP明示プロキシの場合は表示）をクリックし、プロンプトを読み、準備ができたら「インストール」をクリックします。ノードは数分以内に再起動します。
7	ノードが再起動したら、必要に応じて再度サインインし、概要ページを開いて接続チェックをチェックし、すべてが緑色になっていることを確認します。プロキシ接続チェックは、webex.comのサブドメインのみをテストします。接続に問題がある場合、よくある問題は、インストール手順に記載されているクラウドドメインの一部がプロキシでブロックされていることです。

Cisco AI Assistant

コメントありがとうございます。

ハイブリッドデータセキュリティとビデオメッシュのプロキシサポート

ハイブリッドデータセキュリティノードとプロキシの例

ブロックされた外部DNS解決モード（明示的なプロキシ構成）

プロキシを経由するトラフィック

TCPポート444がプロキシで有効になっていません

ルート証明書がインストールされていません

接続チェックが失敗します

認証の詳細が間違っています

プロキシの混雑

WebSocketはSquidプロキシ経由で接続できません

小規模企業

エンタープライズ

デバイス

次のためのソリューション:

リソース

会社