Produktdokumentation
ADC
14.1 - Current Release 13.1 13.0 12.1
PDF anzeigen

URL-Liste

December 12, 2023
Beitrag von: 
C

Mit der URL-Listenfunktion können Unternehmenskunden den Zugriff auf bestimmte Websites und Webseitenkategorien kontrollieren. Die Funktion filtert Websites, indem eine Responder-Richtlinie angewendet wird, die an einen URL-Abgleichsalgorythmus gebunden ist. Der Algorithmus gleicht die eingehende URL mit einem URL-Satz ab, der aus bis zu einer Million (1.000.000) Einträgen besteht. Wenn die eingehende URL-Anfrage mit einem Eintrag im Set übereinstimmt, verwendet die Appliance die Responder-Richtlinie, um die Anfrage auszuwerten (HTTP/HTTPS) und den Zugriff darauf zu steuern.

Typen von URL-Sets

Jeder Eintrag in einem URL-Satz kann eine URL und optional die zugehörigen Metadaten (URL-Kategorie, Kategoriegruppen oder andere verwandte Daten) enthalten. Bei URLs mit Metadaten verwendet die Appliance einen Richtlinienausdruck, der die Metadaten auswertet. Weitere Informationen finden Sie unter URL-Set.

SSL Forward-Proxy unterstützt benutzerdefinierte URL-Sets. Sie können auch Mustersätze verwenden, um URLs zu filtern.

Benutzerdefinierter URL-Satz. Sie können ein benutzerdefiniertes URL-Set mit bis zu 1.000.000 URL-Einträgen erstellen und es als Textdatei in Ihre Appliance importieren.

Musterset Eine ADC-Appliance kann Mustersätze verwenden, um URLs zu filtern, bevor Zugriff auf Websites gewährt wird. Ein Mustersatz ist ein Zeichenfolge-Matching-Algorithmus, der nach einer genauen Übereinstimmung zwischen einer eingehenden URL und bis zu 5000 Einträgen sucht. Weitere Informationen finden Sie unter Musterset.

Jede URL in einem importierten URL-Satz kann eine benutzerdefinierte Kategorie in Form von URL-Metadaten aufweisen. Ihre Organisation kann das Set hosten und die ADC-Appliance so konfigurieren, dass sie das Set regelmäßig aktualisiert, ohne dass ein manuelles Eingreifen erforderlich ist.

Nachdem das Set aktualisiert wurde, erkennt die NetScaler ADC Appliance die Metadaten automatisch. Die Kategorie ist jetzt als Richtlinienausdruck verfügbar, um die URL auszuwerten und Aktionen wie Zulassen, Blockieren, Weiterleiten oder Benachrichtigung des Benutzers anzuwenden.

Erweiterte Richtlinienausdrücke, die mit URL-Sätzen verwendet werden

In der folgenden Tabelle werden die grundlegenden Ausdrücke beschrieben, die Sie zur Bewertung des eingehenden Datenverkehrs verwenden können.

  1. .URLSET_MATCHES_ANY — Wird mit TRUE ausgewertet, wenn die URL genau mit einem Eintrag im URL-Satz übereinstimmt.
  2. .GET_URLSET_METADATA () — Der Ausdruck GET_URLSET_METADATA () gibt die zugehörigen Metadaten zurück, wenn die URL genau mit einem Muster innerhalb des URL-Sets übereinstimmt. Eine leere Zeichenfolge wird zurückgegeben, wenn es keine Übereinstimmung gibt.
  3. .GET_ URLSET_METADATA().EQ(<METADATA) - .GET_ URLSET_METADATA().EQ(<METADATA)
  4. .GET_URLSET_METADATA () .TYPECAST_LIST_T (‘,’) .GET (0) .EQ () — Wird als TRUE ausgewertet, wenn sich die übereinstimmenden Metadaten am Anfang der Kategorie befinden. Dieses Muster kann verwendet werden, um separate Felder innerhalb von Metadaten zu kodieren, aber nur für das erste Feld.
  5. HTTP.REQ.HOSTNAME.APPEND (HTTP.REQ.URL) — Verbindet die Host- und URL-Parameter, die dann für den Abgleich verwendet werden können.

Typen von Responder-Aktionen

Hinweis: In der Tabelle wird HTTP.REQ.URL als verallgemeinert. <URL expression>

In der folgenden Tabelle werden die Aktionen beschrieben, die auf eingehenden Internetverkehr angewendet werden können.

Responder-Aktion Beschreibung
Allow Erlauben Sie der Anfrage, auf die Ziel-URL zuzugreifen.
Umleiten Leitet die Anfrage an die als Ziel angegebene URL weiter.
Blockieren Lehnen Sie die Anfrage ab.

Voraussetzungen

Konfigurieren Sie einen DNS-Server, wenn Sie einen URL-Satz aus einer Hostnamen-URL importieren. Diese Konfiguration ist nicht erforderlich, wenn Sie eine IP-Adresse verwenden.

Geben Sie in der Befehlszeile Folgendes ein:

add dns nameServer ((<IP> [-local]) | <dnsVserverName>) [-state (ENABLED | DISABLED )] [-type <type>] [-dnsProfileName <string>]

Beispiel:

add dns nameServer 10.140.50.5

Eine URL-Liste konfigurieren

Um eine URL-Liste zu konfigurieren, können Sie den Citrix SSL-Forward-Proxy-Assistenten oder die Citrix ADC-Befehlszeilenschnittstelle (CLI) verwenden. Auf der Citrix ADC Appliance müssen Sie zuerst die Responder-Richtlinie konfigurieren und dann die Richtlinie an einen URL-Satz binden.

Citrix empfiehlt, den Citrix SSL Forward Proxy Wizard als bevorzugte Option für die Konfiguration einer URL-Liste zu verwenden. Verwenden Sie den Assistenten, um eine Responder-Richtlinie an einen URL-Satz zu binden. Alternativ können Sie die Richtlinie an einen Mustersatz binden.

Konfigurieren Sie eine URL-Liste mithilfe des SSL-Forward-Proxyassistenten

So konfigurieren Sie die URL-Liste für HTTPS-Verkehr mithilfe der GUI:

  1. Navigieren Sie zur Seite Sicherheit > SSL Forward Proxy .
  2. Führen Sie im Detailbereich eine der folgenden Aktionen aus:
    1. Klicken Sie auf SSL Forward Proxy Wizard.
    2. Wählen Sie eine vorhandene Konfiguration aus und klicken Sie auf Bearbeiten.
  3. Klicken Sie im Abschnitt “ URL-Filter “ auf Bearbeiten.
  4. Markieren Sie das Kontrollkästchen URL-Liste, um die Funktion zu aktivieren.
  5. Wählen Sie eine URL-Listenrichtlinie aus und klicken Sie auf Binden.
  6. Klicken Sie auf Weiter und dann Fertig.

Weitere Informationen finden Sie unter Erstellen einer URL-Listenrichtlinie.

Konfigurieren einer URL-Liste mit der CLI

Gehen Sie wie folgt vor, um eine URL-Liste zu konfigurieren.

  1. Konfigurieren Sie einen virtuellen Proxyserver für HTTP- und HTTPS-Verkehr.
  2. Konfigurieren Sie die SSL-Interception zum Abfangen von HTTPS-Verkehr.
  3. Konfigurieren Sie eine URL-Liste, die einen URL-Satz für HTTP-Verkehr enthält.
  4. Konfigurieren Sie die URL-Liste, die URLs enthält, die für den HTTPS-Verkehr festgelegt wurden.
  5. Konfigurieren Sie einen privaten URL-Satz.

Hinweis

Wenn Sie bereits eine ADC-Appliance konfiguriert haben, können Sie die Schritte 1 und 2 überspringen und mit Schritt 3 konfigurieren.

Konfiguration eines virtuellen Proxyservers für den Internetverkehr

Die NetScaler ADC-Appliance unterstützt transparente und explizite virtuelle Proxyserver. Gehen Sie wie folgt vor, um einen virtuellen Proxyserver für den Internetverkehr im expliziten Modus zu konfigurieren:

  1. Fügen Sie einen virtuellen Proxyserver für SSL hinzu.
  2. Binden Sie eine Responder-Richtlinie an den virtuellen Proxyserver.

So fügen Sie mithilfe der CLI einen virtuellen Proxyserver hinzu:

Geben Sie in der Befehlszeile Folgendes ein:

add cs vserver <name> <serviceType> <IPAddress> <port>
<!--NeedCopy-->

Beispiel:

add cs vserver starcs PROXY 10.102.107.121 80 -cltTimeout 180
<!--NeedCopy-->

So binden Sie eine Responder-Richtlinie mithilfe der CLI an einen virtuellen Proxyserver:

bind ssl vserver <vServerName> -policyName <string> [-priority <positive_integer>]
<!--NeedCopy-->

Hinweis

Wenn Sie den SSL-Interceptor bereits als Teil der Citrix ADC-Konfiguration konfiguriert haben, können Sie das folgende Verfahren überspringen.

SSL-Abfangen für HTTPS-Verkehr konfigurieren

Gehen Sie wie folgt vor, um das SSL-Abfangen für den HTTPS-Verkehr zu konfigurieren:

  1. Binden Sie ein CA-Zertifikatsschlüsselpaar an den virtuellen Proxyserver.
  2. Aktivieren Sie das Standard-SSL-Profil.
  3. Erstellen Sie ein Front-End-SSL-Profil, binden Sie es an den virtuellen Proxyserver und aktivieren Sie das SSL-Abfangen im Front-End-SSL-Profil.

So binden Sie ein Zertifizierungsstellen-Schlüsselpaar mit der Befehlszeilenschnittstelle an den virtuellen Proxyserver:

Geben Sie in der Befehlszeile Folgendes ein:

bind ssl vserver <vServerName> -certkeyName <certificate-KeyPairName>
<!--NeedCopy-->

So konfigurieren Sie ein Front-End-SSL-Profil mithilfe der CLI:

Geben Sie in der Befehlszeile Folgendes ein:

set ssl parameter -defaultProfile ENABLED

add ssl profile <name> -sslInterception ENABLED -ssliMaxSessPerServer <positive_integer>
<!--NeedCopy-->

So binden Sie ein Front-End-SSL-Profil mithilfe der CLI an einen virtuellen Proxyserver

Geben Sie in der Befehlszeile Folgendes ein:

set ssl vserver <vServer name>  -sslProfile <name>
<!--NeedCopy-->

Konfigurieren einer URL-Liste durch Importieren eines URL-Sets für HTTP-Datenverkehr

Informationen zum Konfigurieren eines URL-Sets für HTTP-Datenverkehr finden Sie unter URL-Set.

Explizite Subdomain-Übereinstimmung durchführen

Sie können jetzt eine explizite Subdomain-Übereinstimmung für einen importierten URL-Satz durchführen. Ein neuer Parameter, “subdomainExactMatch”, wird dem Befehl import policy URLset hinzugefügt.

Wenn Sie den Parameter aktivieren, führt der URL-Filter-Algorithmus eine explizite Subdomain-Übereinstimmung durch. Wenn die eingehende URL beispielsweise lautet news.example.com und wenn der Eintrag im URL-Satz lautet example.com, stimmt der Algorithmus nicht mit den URLs überein.

Geben Sie in der Befehlszeile Folgendes ein: import policy urlset <name> [-overwrite] [-delimiter <character>][-rowSeparator <character>] -url [-interval <secs>] [-privateSet][-subdomainExactMatch] [-canaryUrl <URL>]

Beispiel import policy urlset test -url http://10.78.79.80/top-1k.csv -privateSet -subdomainExactMatch -interval 900

Konfigurieren Sie einen URL-Satz für HTTPS-Verkehr

So konfigurieren Sie ein URL-Set für HTTPS-Verkehr mithilfe der CLI

Geben Sie an der Eingabeaufforderung Folgendes ein:

add ssl policy <name> -rule <expression> -action <string> [-undefAction <string>] [-comment <string>]
<!--NeedCopy-->

Beispiel:

add ssl policy pol1 -rule client.ssl.client_hello.SNI.URLSET_MATCHES_ANY("top1m") -action INTERCEPT
<!--NeedCopy-->

So konfigurieren Sie einen URL-Satz für HTTPS-Verkehr mithilfe des SSL-Forward-Proxyassistenten

Citrix empfiehlt, den SSL-Forward-Proxyassistenten als bevorzugte Option für die Konfiguration einer URL-Liste zu verwenden. Verwenden Sie den Assistenten, um einen benutzerdefinierten URL-Satz zu importieren und an eine Responder-Richtlinie zu binden.

  1. Navigieren Sie zu Sicherheit > SSL-Forward-Proxy > URL-Filterung > URL-Listen.
  2. Klicken Sie im Detailbereich auf Hinzufügen.
  3. Geben Sie auf der Seite “ Richtlinie für URL-Liste “ den Richtliniennamen an.
  4. Wählen Sie eine Option aus, um einen URL-Satz zu importieren.
  5. Aktivieren Sie auf der Registerkarte URL-Listenrichtlinie das Kontrollkästchen URL-Satz importieren und geben Sie die folgenden URL-Set-Parameter an.
    1. URL-Set-Name — Name des benutzerdefinierten URL-Sets.
    2. URL—Webadresse des Standorts, an dem auf den URL-Set zugegriffen werden soll.
    3. Überschreiben — Überschreibt einen zuvor importierten URL-Satz.
    4. Trennzeichen—Zeichensequenz, die einen CSV-Dateidatensatz begrenzt.
    5. Zeilentrenner— In der CSV-Datei verwendetes Zeilentrennzeichen.
    6. Intervall — Intervall in Sekunden, abgerundet auf die nächste Anzahl von Sekunden, die 15 Minuten entspricht, in der der URL-Satz aktualisiert wird.
    7. Private Set—Option, um das Exportieren des URL-Sets zu verhindern.
    8. Canary URL — Interne URL, mit der getestet wird, ob der Inhalt des URL-Sets vertraulich behandelt werden soll. Die maximale Länge der URL beträgt 2047 Zeichen.
  6. Wählen Sie eine Responder Action aus der Dropdownliste aus.
  7. Klicken Sie auf Erstellen und Schließen.

Einen privaten URL-Satz konfigurieren

Wenn Sie einen privaten URL-Satz konfigurieren und den Inhalt vertraulich behandeln, kennt der Netzwerkadministrator möglicherweise die in der Sperrliste enthaltenen URLs nicht. In solchen Fällen kannst du eine Canary-URL konfigurieren und sie dem URL-Set hinzufügen. Mithilfe der Canary-URL kann der Administrator das private URL-Set anfordern, das für jede Suchanfrage verwendet werden soll. Eine Beschreibung der einzelnen Parameter finden Sie im Abschnitt Wizard.

Um einen URL-Satz mit der CLI zu importieren:

Geben Sie in der Befehlszeile Folgendes ein:

import policy urlset <name> [-overwrite] [-delimiter <character>] [-rowSeparator <character>] -url <URL> [-interval <secs>] [-privateSet] [-canaryUrl <URL>]
<!--NeedCopy-->

Beispiel:

import policy urlset test1 -url http://10.78.79.80/alytra/top-1k.csv -private -canaryUrl http://www.in.gr
<!--NeedCopy-->

Importierten URL-Satz anzeigen

Sie können jetzt zusätzlich zu hinzugefügten URL-Sets importierte URL-Sets anzeigen. Ein neuer Parameter “imported” wird dem Befehl show urlset hinzugefügt. Wenn Sie diese Option aktivieren, zeigt die Appliance alle importierten URL-Sets an und unterscheidet die importierten URL-Sets von den hinzugefügten URL-Sätzen.

Geben Sie in der Befehlszeile Folgendes ein: show policy urlset [<name>] [-imported]

Beispiel show policy urlset -imported

Konfigurieren des Überwachungsprotokolls

Mithilfe der Prüfprotokollierung können Sie eine Bedingung oder Situation in jeder Phase eines URL-Listenprozesses überprüfen. Wenn eine Citrix ADC Appliance eine eingehende URL empfängt und die Responder-Richtlinie einen erweiterten URL-Set-Richtlinienausdruck enthält, sammelt die Überwachungsprotokollfunktion URL-Set-Informationen in der URL. Es speichert die Details als Protokollnachricht für jedes Ziel, das durch die Audit-Protokollierung zulässig ist.

Die Lognachricht enthält die folgenden Informationen:

  1. Zeitstempel.
  2. Nachrichtentyp protokollieren.
  3. Die vordefinierten Protokollebenen (Kritisch, Fehler, Hinweis, Warnung, Information, Debug, Warnung und Notfall).
  4. Loggen Sie Nachrichteninformationen ein, z. B. Name des URL-Sets, Richtlinienaktion, URL.

Um die Überwachungsprotokollierung für die URL-Liste zu konfigurieren, müssen Sie die folgenden Aufgaben ausführen:

  1. Überwachungsprotokoll aktivieren.
  2. Aktion “Überwachungsprotokollmeldung erstellen”
  3. Legen Sie die Richtlinie für URL-Listen-Responder mit Auditprotokoll-Nachrichtenaktion fest.

Weitere Informationen finden Sie unter Thema Überwachungsprotokollierung .

URL-Liste
December 12, 2023
Beitrag von: 
C
December 12, 2023
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.