피드백을 보내 주셔서 감사합니다.
하이브리드 데이터 보안과 비디오 메시에 대한 프록시 지원
피드백이 있습니까?이 섹션에서는 하이브리드 데이터 보안의 프록시 지원 기능을 설명해요. Cisco Webex하이브리드 데이터 보안을 위한 배포 가이드를 보완하기 위한 거예요. https://www.cisco.com/go/hybrid-data-security 에서 구할 수 있어요. 신규 배포에서는 HDS 구성 ISO를 노드에 업로드하고 마운트한 후 클라우드에 노드를 등록하기 전에 각 노드에 프록시 설정을 구성해요. Cisco Webex
하이브리드 데이터 보안은 명시적이고 투명한 검사와 비검사 프록시를 지원해요. 엔터프라이즈에서 클라우드로 향하는 트래픽을 보호하고 모니터링할 수 있도록 이러한 프록시를 배포에 연결할 수 있어요. 노드에서 플랫폼 관리자 인터페이스를 사용하여 인증서를 관리하고 노드에 프록시를 설정한 후 전체 연결 상태를 확인할 수 있어요.
하이브리드 데이터 보안 노드는 다음 프록시 옵션을 지원해요.
-
프록시 없음 —HDS 노드 설정을 사용하여 프록시를 통합하지 않는 경우의 기본값은 신뢰 저장소 및 프록시 구성이에요. 인증서 업데이트 필요 없어요.
-
투명한 비검사 프록시 - 노드가 특정 프록시 서버 주소를 사용하도록 구성되지 않았으므로 비검사 프록시와 작동하기 위해 변경할 필요가 없어요. 인증서 업데이트 필요 없어요.
-
투명한 터널링 또는 프록시 검사 —노드가 특정 프록시 서버 주소를 사용하도록 구성되지 않았어요. 노드에서 HTTP나 HTTPS 구성을 변경할 필요가 없어요. 하지만 노드가 프록시를 신뢰하려면 루트 인증서가 필요해요. 검사 프록시는 보통 IT에서 어떤 웹사이트가 방문될 수 있고 어떤 유형의 콘텐츠가 허용되지 않는지에 대한 정책을 적용하는 데 사용해요. 이 유형의 프록시는 모든 트래픽 (HTTPS도 포함) 을 해독해요.
-
명시적 프록시 --명시적 프록시를 사용하면 사용할 프록시 서버와 인증 체계를 HDS 노드에 알려줘요. 명시적 프록시를 구성하려면 각 노드에 다음 정보를 입력해야 해요.
-
프록시 IP/FQDN —프록시 머신에 연결하는 데 사용할 수 있는 주소예요.
-
프록시 포트 - 프록시가 프록시 트래픽을 수신하는 데 사용하는 포트 번호예요.
-
프록시 프로토콜 —프록시 서버가 지원하는 것에 따라 다음 프로토콜 중 하나를 선택하세요.
-
HTTP—클라이언트가 보내는 모든 요청을 보고 통제해요.
-
HTTPS—서버에 채널을 제공해요. 클라이언트가 서버의 인증서를 받고 검증해요.
-
-
인증 유형 —다음 인증 유형 중에서 선택하세요.
-
없음 —추가 인증은 필요 없어요.
HTTP 또는 HTTPS를 프록시 프로토콜로 선택하면 사용할 수 있어요.
-
기본 —HTTP 사용자 에이전트가 요청할 때 사용자 이름과 암호를 제공하는 데 사용돼요. Base64 인코딩을 사용해요.
HTTP 또는 HTTPS를 프록시 프로토콜로 선택하면 사용할 수 있어요.
각 노드의 사용자 이름과 암호를 입력해야 해요.
-
다이제스트 —민감한 정보를 보내기 전에 계정을 확인하는 데 사용해요. 네트워크로 보내기 전에 사용자 이름과 암호에 해시 함수를 적용해요.
HTTPS를 프록시 프로토콜로 선택한 경우에만 사용할 수 있어요.
각 노드의 사용자 이름과 암호를 입력해야 해요.
-
-
하이브리드 데이터 보안 노드 및 프록시의 예시
이 다이어그램은 하이브리드 데이터 보안, 네트워크, 프록시 간의 연결 예를 보여줘요. 투명한 검사 및 HTTPS 명시적 검사 프록시 옵션의 경우 프록시와 하이브리드 데이터 보안 노드에 동일한 루트 인증서를 설치해야 해요.
외부 DNS 확인 모드 차단됨 (명시적 프록시 구성)
노드를 등록하거나 노드의 프록시 구성을 확인하면 프로세스가 DNS 조회와 Cisco Webex 클라우드 연결을 테스트해요. 내부 클라이언트에 대한 외부 DNS 확인을 허용하지 않는 명시적 프록시 구성을 사용하는 배포에서, 노드가 DNS 서버를 쿼리할 수 없으면 자동으로 차단된 외부 DNS 확인 모드로 전환돼요. 이 모드에서는 노드 등록과 다른 프록시 연결 테스트를 진행할 수 있어요.
-
하이브리드 데이터 보안 노드와 통합할 수 있는 다음 프록시 솔루션을 공식적으로 지원해요.
-
투명 프록시—시스코 웹 시큐리티 어플라이언스 (WSA).
-
명시적 프록시—오징어.
HTTPS 트래픽을 검사하는 오징어 프록시가 웹소켓 (wss:) 연결 설정을 방해할 수 있어요. 이 문제를 해결하려면 하이브리드 데이터 보안을 위한 Squid 프록시 구성을 참조하십시오.
-
-
명시적 프록시에 대해 다음과 같은 인증 유형 조합을 지원해요.
-
HTTP나 HTTPS로 인증 안 돼요
-
HTTP 또는 HTTPS를 이용한 기본 인증이에요
-
다이제스트 인증은 HTTPS만 사용해요
-
-
투명한 검사 프록시나 HTTPS 명시적 프록시의 경우 프록시의 루트 인증서 사본이 있어야 해요. 이 가이드의 배포 지침은 하이브리드 데이터 보안 노드의 신뢰 저장소에 사본을 업로드하는 방법을 알려줘요.
-
HDS 노드를 호스팅하는 네트워크가 포트 443에서 강제로 아웃바운드 TCP 트래픽을 프록시를 통해 라우팅하도록 구성해야 해요.
-
웹 트래픽을 검사하는 프록시는 웹 소켓 연결을 방해할 수 있어요. 이 문제가 발생하면 트래픽을 (검사하지 않고)
ciscospark.com우회하면 문제가 해결돼요.wbx2.com
네트워크 환경에 프록시가 필요한 경우 이 절차를 사용하여 하이브리드 데이터 보안과 통합하려는 프록시 유형을 지정하세요. 투명한 검사 프록시나 HTTPS 명시적 프록시를 선택하면 노드 인터페이스를 사용하여 루트 인증서를 업로드하고 설치할 수 있어요. 인터페이스에서 프록시 연결을 확인하고 잠재적 문제를 해결할 수도 있어요.
시작하기 전에
-
지원되는 프록시 옵션 개요는 프록시 지원을 참조하세요.
| 1 |
웹 |
| 2 |
트러스트 스토어 및 프록시로 가서 옵션 고르세요:
투명한 검사 프록시, 기본 인증을 사용하는 HTTP 명시적 프록시 또는 HTTPS 명시적 프록시의 다음 단계를 따르세요. |
| 3 |
루트 인증서 업로드 또는 최종 개체 인증서를 클릭한 다음 프록시의 루트 인증서 선택으로 이동해요. 인증서를 설치하려면 노드를 재부팅해야 하기 때문에 인증서가 업로드되었지만 아직 설치되지 않았어요. 자세한 내용을 보려면 인증서 발급자 이름 옆에 있는 갈매기 모양 화살표를 클릭하고, 실수로 파일을 다시 업로드하고 싶으면 삭제를 클릭하세요. |
| 4 |
노드와 프록시 사이의 네트워크 연결을 테스트하려면 프록시 연결 확인을 클릭해요. 연결 테스트에 실패하면 이유와 문제 해결 방법을 보여주는 오류 메시지가 표시돼요. 외부 DNS 확인에 실패했다는 메시지를 본다면, 노드가 DNS 서버에 도달하지 못한 거예요. 많은 명시적 프록시 구성에서 이런 상황이 예상돼요. 설정을 계속하면 노드가 차단된 외부 DNS 확인 모드에서 작동해요. 이게 오류라고 생각되면, 이 단계를 완료한 다음 차단된 외부 DNS 확인 모드 끄기 참조. |
| 5 |
연결 테스트를 통과한 후 명시적 프록시가 https 전용으로 설정된 경우, 이 노드의 모든 포트 443/444 https 요청을 명시적 프록시를 통해 라우팅으로 토글을 켜세요. 이 설정 적용되려면 15초 걸려요. |
| 6 |
신뢰 저장소에 모든 인증서 설치 (HTTPS 명시적 프록시 또는 투명 검사 프록시의 경우 나타남) 또는 재부팅 (HTTP 명시적 프록시의 경우 나타남) 을 클릭하고, 프롬프트를 읽고 준비가 되었으면 설치를 클릭하세요. 몇 분 안에 노드가 재부팅돼요. |
| 7 |
노드 재부팅 후 필요하면 다시 로그인한 다음 개요 페이지를 열어 연결 검사를 확인해 모두 초록색 상태인지 확인하세요. 프록시 연결 검사는 webex.com의 하위 도메인만 테스트해요. 연결 문제가 있으면 일반적인 문제는 설치 지침에 나열된 클라우드 도메인 중 일부가 프록시에서 차단된다는 거예요. |
노드를 등록하거나 노드의 프록시 구성을 확인하면 프로세스가 DNS 조회와 Cisco Webex 클라우드 연결을 테스트해요. 노드의 DNS 서버가 공용 DNS 이름을 확인할 수 없는 경우, 노드는 자동으로 차단된 외부 DNS 확인 모드로 전환돼요.
노드가 내부 DNS 서버를 통해 공개 DNS 이름을 확인할 수 있으면 각 노드에서 프록시 연결 테스트를 다시 실행하여 이 모드를 끌 수 있어요.
시작하기 전에
| 1 |
웹 브라우저에서 하이브리드 데이터 보안 노드 인터페이스 (IP 주소/설정, 예: https://192.0.2.0/setup) 를 열고 노드에 설정한 관리자 자격 증명을 입력한 다음 로그인을 클릭하세요. |
| 2 |
개요 (기본 페이지) 로 가세요. 
활성화되면 차단된 외부 DNS 확인이 Yes로 설정돼요. |
| 3 |
트러스트 스토어 및 프록시 페이지로 가세요. |
| 4 |
프록시 연결 확인 클릭해요. 외부 DNS 확인에 실패했다는 메시지가 표시되면 노드가 DNS 서버에 도달하지 못한 것이므로 이 모드로 남게 돼요. 그렇지 않으면 노드를 재부팅하고 개요 페이지로 돌아가면 차단된 외부 DNS 확인이 아니오로 설정되어야 해요. |
다음에 뭘 해야 돼요?
이 섹션에서는 웹엑스 비디오 메시의 프록시 지원 기능을 설명해요. Cisco Webex비디오 메시용 배포 가이드를 보완하기 위한 거예요. https://www.cisco.com/go/video-mesh 에서 구할 수 있어요. 신규 배포에서는 가상 머신 환경에 비디오 메시 소프트웨어를 배포한 후 Cisco Webex 클라우드에 노드를 등록하기 전에 각 노드에 프록시 설정을 구성해요.
비디오 메시는 명시적이고 투명한 검사와 비검사 프록시를 지원해요. 이러한 프록시를 비디오 메시 배포에 연결하여 기업에서 클라우드로 향하는 트래픽을 보호하고 모니터링할 수 있어요. 이 기능은 시그널링 및 관리 https 기반 트래픽을 프록시로 보낸대요. 투명 프록시의 경우, 비디오 메시 노드의 네트워크 요청이 기업 네트워크 라우팅 규칙을 통해 특정 프록시에 전달돼요. 노드에 프록시를 구현한 후 인증서 관리와 전체 연결 상태를 위해 비디오 메시 관리자 인터페이스를 사용할 수 있어요.
미디어는 프록시를 통해 이동하지 않아요. 미디어 스트림이 클라우드에 직접 도달하려면 여전히 필요한 포트를 열어야 해요. 관리용 포트 및 프로토콜 참조.
비디오 메시는 다음 프록시 유형을 지원해요.
-
명시적 프록시 (검사 또는 비검사) - 명시적 프록시를 사용하면 클라이언트 (비디오 메시 노드) 에 사용할 프록시 서버를 알려줘요. 이 옵션은 다음 인증 유형 중 하나를 지원해요.
-
없음. 추가 인증은 필요 없어요. (HTTP 또는 HTTPS 명시적 프록시의 경우.)
-
기본—HTTP 사용자 에이전트가 요청할 때 사용자 이름과 암호를 제공하는 데 사용되며 Base64 인코딩을 사용해요. (HTTP 또는 HTTPS 명시적 프록시의 경우.)
-
다이제스트—민감한 정보를 보내기 전에 계정의 ID를 확인하고 네트워크로 보내기 전에 사용자 이름과 비밀번호에 해시 함수를 적용하는 데 사용돼요. (HTTPS 명시적 프록시의 경우.)
-
NTLM—다이제스트처럼, NTLM은 민감한 정보를 보내기 전에 계정의 ID를 확인하는 데 사용돼요. 사용자 이름과 암호 대신 Windows 자격 증명을 사용해요. 이 인증 체계를 완료하려면 여러 번 교환해야 해요. (HTTP 명시적 프록시의 경우.)
-
-
투명 프록시 (비검사) - 비디오 메시 노드는 특정 프록시 서버 주소를 사용하도록 구성되지 않았으므로 비검사 프록시에서 작동하기 위해 어떤 변경도 필요하지 않아야 해요.
-
투명 프록시 (검사) —비디오 메시 노드가 특정 프록시 서버 주소를 사용하도록 구성되지 않았어요. 비디오 메시에서는 http (s) 구성을 변경할 필요가 없어요. 하지만 비디오 메시 노드는 프록시를 신뢰하기 위해 루트 인증서가 필요해요. 검사 프록시는 보통 IT에서 방문 가능한 웹사이트와 허용되지 않는 콘텐츠 유형에 관한 정책을 시행하는 데 사용해요. 이 유형의 프록시는 모든 트래픽 (https도 포함) 을 해독해요.
-
비디오 메시 노드와 통합할 수 있는 다음 프록시 솔루션을 공식적으로 지원해요.
-
투명 프록시용 시스코 웹 시큐리티 어플라이언스 (WSA)
-
명시적 프록시용 오징어
-
-
검사 (트래픽 암호 해독) 하는 명시적 프록시나 투명 검사 프록시의 경우 웹 인터페이스의 비디오 메시 노드 신뢰 저장소에 업로드해야 하는 프록시의 루트 인증서 사본이 있어야 해요.
-
다음과 같은 명시적 프록시 및 인증 유형 조합을 지원해요.
-
http와 https로는 인증 안 돼요.
-
http와 https를 이용한 기본 인증이에요
-
다이제스트 인증은 https만 사용해요
-
NTLM 인증을 (http로만 사용)
-
-
투명 프록시의 경우, 라우터/스위치를 사용하여 HTTPS/443 트래픽을 프록시로 강제 전송해야 해요. 웹 소켓을 강제로 프록시로 전환할 수도 있어요. (웹 소켓은 https를 사용해요.)
비디오 메시는 노드가 제대로 작동하려면 클라우드 서비스에 대한 웹 소켓 연결이 필요해요. 명시적 검사와 투명한 검사 프록시에서는 적절한 웹 소켓 연결을 위해 http 헤더가 필요해요. 변경하면 웹 소켓 연결이 실패해요.
포트 443에서 웹 소켓 연결 실패가 발생하면 (투명 검사 프록시가 활성화된 상태), 컨트롤 허브에 등록 후 경고가 표시돼요. “Webex 비디오 메시 SIP 통화가 제대로 작동하지 않아요.”프록시가 활성화되지 않은 경우 다른 이유로 같은 경보가 발생할 수 있어요. 포트 443에서 웹소켓 헤더가 차단되면 앱과 SIP 클라이언트 간에 미디어가 흐르지 않아요.
미디어가 흐르지 않으면 포트 443을 통한 노드의 https 트래픽이 실패할 때 이런 일이 자주 발생해요.
-
프록시가 포트 443 트래픽을 허용하는데 프록시가 검사 프록시여서 웹 소켓을 망가뜨리고 있어요.
이 문제를 해결하려면 포트 443에서 *.wbx2.com 및 *.ciscospark.com으로 “바이패스” 또는 “스플라이스” (검사 비활성화) 해야 할 수도 있어요.
-
비디오 메시와 통합하려는 프록시 유형을 지정하려면 이 절차를 사용하세요. 투명한 검사 프록시나 명시적 프록시를 선택하면 노드 인터페이스를 사용하여 루트 인증서를 업로드 및 설치하고, 프록시 연결을 확인하고, 잠재적 문제를 해결할 수 있어요.
시작하기 전에
-
지원되는 프록시 옵션 개요는 비디오 메시 프록시 지원을 참조하세요.
| 1 |
웹 | ||||||||||
| 2 |
트러스트 스토어 및 프록시로 가서 옵션 고르세요:
투명한 검사 또는 명시적 프록시를 위해 다음 단계를 따르세요. | ||||||||||
| 3 |
루트 인증서 업로드 또는 최종 개체 인증서 업로드를 클릭한 다음 명시적이거나 투명한 검사 프록시의 루트 인증서를 찾아 선택하세요. 인증서를 설치하려면 노드를 재부팅해야 해서 인증서가 업로드되었지만 아직 설치되지 않았어요. 자세한 내용을 보려면 인증서 발급자 이름 옆의 화살표를 클릭하고 파일을 다시 업로드하려면 삭제를 클릭하세요. | ||||||||||
| 4 |
투명한 검사나 명시적 프록시의 경우 프록시 연결 확인을 클릭하여 비디오 메시 노드와 프록시 간의 네트워크 연결을 테스트하세요. 연결 테스트에 실패하면 이유와 문제 해결 방법을 보여주는 오류 메시지가 표시돼요. | ||||||||||
| 5 |
연결 테스트를 통과한 후, 명시적 프록시의 경우, 이 노드의 모든 포트 443 https 요청을 명시적 프록시를 통해 라우팅하세요. 이 설정 적용되려면 15초 걸려요. | ||||||||||
| 6 |
신뢰 저장소에 모든 인증서 설치 (프록시 설정 중에 루트 인증서가 추가될 때마다 나타남) 또는 재부팅 (루트 인증서가 추가되지 않은 경우 나타남) 을 클릭하고, 프롬프트를 읽고 준비되면 설치를 클릭하세요. 몇 분 안에 노드가 재부팅돼요. | ||||||||||
| 7 |
노드 재부팅 후 필요하면 다시 로그인한 다음 개요 페이지를 열어 연결 검사를 확인해 모두 초록색 상태인지 확인하세요. 프록시 연결 검사는 webex.com의 하위 도메인만 테스트해요. 연결 문제가 있으면 일반적인 문제는 설치 지침에 나열된 클라우드 도메인 중 일부가 프록시에서 차단된다는 거예요. |
프록시를 거치는 트래픽은 뭐예요
비디오 메시의 경우 미디어는 프록시를 통과하지 않아요. 이 기능은 시그널링 및 관리 https 기반 트래픽을 프록시로 보낸대요. 미디어 스트림이 클라우드에 직접 도달하려면 여전히 필요한 포트를 열어야 해요.
TCP 포트 444가 프록시에서 활성화되지 않았어요
비디오 메시에는 이 포트가 필요해요. 비디오 메시는 제대로 작동하는 데 사용해야 하는 클라우드 기반 서비스에 액세스하기 위해 이 포트를 사용하기 때문이에요. 비디오 메시 배포 가이드 및 Webex Teams 서비스의 네트워크 요구 사항에 설명된 대로 이 포트와 ANY에 대해 프록시 예외를 설정해야 해요.
우리 솔루션에서 사용하는 IP 주소는 동적이고 언제든지 변경될 수 있으므로 IP 주소로 시그널링 트래픽을 필터링하는 것은 지원되지 않아요.
루트 인증서가 설치되지 않았어요
노드가 명시적 프록시와 통신할 때는 루트 인증서를 설치하고 방화벽에 해당 URL에 대한 예외를 입력해야 해요.
연결 검사 실패했어요.
프록시 연결 검사를 통과하고 프록시 설치가 완료된 경우 개요 페이지의 연결 검사가 여전히 다음과 같은 이유로 실패할 수 있어요.
-
프록시가 webex.com으로 가지 않는 트래픽을 검사하고 있어요.
-
프록시가 webex.com 이외의 도메인을 차단하고 있어요.
인증 세부 정보가 정확하지 않아요
인증 메커니즘을 사용하는 프록시의 경우, 노드에 올바른 인증 세부 정보를 추가했는지 확인하세요.
프록시 혼잡이에요
프록시가 혼잡하면 클라우드로 가는 트래픽이 지연되고 끊길 수 있어요. 프록시 환경에서 트래픽 스로틀링이 필요한지 확인해 보세요.
웹 소켓이 오징어 프록시를 통해 연결할 수 없어요
HTTPS 트래픽을 검사하는 오징어 프록시는 하이브리드 데이터 보안에 필요한 웹소켓 (wss:) 연결 설정을 방해할 수 있어요. 이 섹션은 서비스의 적절한 운영을 위해 wss:트래픽을 무시하도록 다양한 버전의 Squid를 구성하는 방법에 대한 지침을 제공합니다.
오징어 4호랑 5호
on_unsupported_protocol지침을 다음에 추가하세요. squid.conf
on_unsupported_protocol tunnel all오징어 3.5.27이에요
다음 규칙을 추가해서 하이브리드 데이터 보안을 성공적으로 테스트했어요 squid.conf. 이 규칙은 기능을 개발하고 Webex 클라우드를 업데이트함에 따라 변경될 수 있어요.
acl wssMercuryConnection ssl::server_name_regex mercury-connection
ssl_bump splice wssMercuryConnection
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3
ssl_bump peek step1 all
ssl_bump stare step2 all
ssl_bump bump step3 all
