ADC

Anwendungsfall: Konform und Sicherheit des Internetzugangs für Unternehmen

March 17, 2024

Beitrag von:

Der Direktor für Netzwerksicherheit in einer Finanzorganisation möchte das Unternehmensnetzwerk vor externen Bedrohungen schützen, die aus dem Internet in Form von Malware ausgehen. Dazu muss der Direktor Einblick in den anderweitig umgangen verschlüsselten Datenverkehr erlangen und den Zugriff auf schädliche Websites kontrollieren. Der Direktor muss Folgendes tun:

Abfangen und untersuchen Sie den gesamten Datenverkehr, einschließlich SSL/TLS (verschlüsselter Verkehr), der in das Unternehmensnetzwerk ein- und ausgeht.
Umgehen Sie das Abfangen von Anfragen an Websites, die sensible Informationen wie Finanzinformationen oder E-Mails von Benutzern enthalten.
Blockieren Sie den Zugriff auf schädliche URLs, die schädliche oder nicht jugendfreie Inhalte enthalten.
Identifizieren Sie Endbenutzer (Mitarbeiter) im Unternehmen, die auf schädliche Websites zugreifen, und blockieren Sie den Internetzugang für diese Benutzer oder blockieren Sie die schädlichen URLs.

Um all das zu erreichen, kann der Direktor einen Proxyserver einrichten. Der Proxyserver fängt den gesamten verschlüsselten und unverschlüsselten Datenverkehr ab, der durch das Unternehmensnetzwerk fließt. Es fordert zur Benutzerauthentifizierung auf und ordnet den Datenverkehr einem Benutzer zu. URL-Kategorien können angegeben werden, um den Zugriff auf illegale/schädliche, erwachsene und Malware- und SPAM-Websites zu blockieren.

Konfigurieren Sie die folgenden Entitäten:

DNS-Nameserver zum Auflösen von Hostnamen.
Subnetz-IP-Adresse (SNIP) zum Herstellen einer Verbindung mit den Ursprungsservern. Die SNIP-Adresse muss über einen Internetzugang verfügen.
Proxy-Server im expliziten Modus, um den gesamten ausgehenden HTTP- und HTTPS-Verkehr abzufangen.
SSL-Profil zur Definition von SSL-Einstellungen wie Chiffrieren und Parametern für Verbindungen.
CA-Zertifikatschlüsselpaar zum Signieren des Serverzertifikats für das SSL-Abfangen.
SSL-Richtlinie zur Definition der Websites, die abgefangen und Bypass werden sollen.
Virtueller Authentifizierungsserver, Richtlinie und Aktion, um sicherzustellen, dass nur gültigen Benutzern Zugriff gewährt wird.
AppFlow-Collector zum Senden von Daten an das NetScaler Application Delivery Management (ADM).

Für diese Beispielkonfiguration werden sowohl CLI- als auch GUI-Verfahren aufgeführt. Die folgenden Beispielwerte werden verwendet. Ersetzen Sie sie durch gültige Daten für IP-Adressen, SSL-Zertifikat und Schlüssel sowie LDAP-Parameter.

Name	In der Beispielkonfiguration verwendete Werte
NSIP-Adresse	192.0.2.5
Subnetz-IP-Adresse	198.51.100.5
IP-Adresse des virtuellen LDAP-Servers	192.0.2.116
IP-Adresse des DNS-Namensservers	203.0.113.2
IP-Adresse des Proxyservers	192.0.2.100
MAS-IP-Adresse	192.0.2.41
CA-Zertifikat für SSL-Abfangen	`ns-swg-ca-certkey` (Zertifikat: ns_swg_ca.crt und Schlüssel: ns_swg_ca.key)
LDAP-Basis-DN	CN=Users,DC=CTXNSSFB,DC=COM
LDAP binden DN	CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM
LDAP bindet DN-Kennwort	zzzzz

Verwenden des SSL-Forward-Proxy-Assistenten zur Konfiguration des Abhörens und Prüfens des Datenverkehrs zum und vom Unternehmensnetzwerk

Das Erstellen einer Konfiguration zum Abfangen und Untersuchen von verschlüsseltem Datenverkehr zusätzlich zum anderen Datenverkehr zu und von einem Netzwerk erfordert die Konfiguration von Proxy, SSL-Abfangen, Benutzerauthentifizierung und URL-Filtereinstellungen. Die folgenden Verfahren enthalten Beispiele für die eingegebenen Werte.

Konfigurieren Sie die Proxy-Einstellungen

Navigieren Sie zu Sicherheit > SSL Forward Proxy > SSL Forward Proxy Wizard.
Klicken Sie auf Erste Schritte und dann auf Weiter.
Geben Sie im Dialogfeld Proxy-Einstellungen einen Namen für den expliziten Proxyserver ein.
Wählen Sie für den Aufnahmemodusdie Option Explizitaus.
Geben Sie eine IP-Adresse und eine Portnummer ein.
Klicken Sie auf Weiter.

Konfigurieren Sie die SSL-Abfangeinstellungen

Wählen Sie SSL-Abfangen aktivierenaus.
Klicken Sie im SSL-Profilauf “+”, um ein neues Front-End-SSL-Profil hinzuzufügen und das Abfangen von SSL-Sitzungen in diesem Profil zu aktivieren.
Klicken Sie auf OK und dann auf Fertig.
Klicken Sie in Select SSL Interception CA Certificate-Key Pairauf “+”, um ein CA-Zertifikatschlüsselpaar für das SSL-Abfangen zu installieren.
Klicken Sie auf Installieren und dann auf Schließen.
Fügen Sie eine Richtlinie hinzu, um den gesamten Verkehr abzufangen. Klicken Sie auf Binden und dann auf Hinzufügen.
Geben Sie einen Namen für die Richtlinie ein und wählen Sie Erweitert. Geben Sie im Ausdruckseditor true ein.
Wählen Sie für AktionABFANGEN aus.
Klicken Sie auf Erstellen und dann auf Hinzufügen, um eine weitere Richtlinie zur Bypass vertraulicher Informationen hinzuzufügen.
Geben Sie einen Namen für die Richtlinie ein und klicken Sie unter URL-Kategorienauf Hinzufügen.
Wählen Sie die Kategorien Finanzen und E-Mail aus und verschieben Sie sie in die Liste Konfiguriert.
Wählen Sie für AktionBYPASSaus.
Klicken Sie auf Erstellen.
Wählen Sie die beiden zuvor erstellten Richtlinien aus und klicken Sie auf Einfügen.
Klicken Sie auf Weiter.

Konfigurieren Sie die Benutzerauthentifizierungseinstellungen

Wählen Sie Benutzerauthentifizierung aktivierenaus. Wählen Sie im Feld AuthentifizierungstypLDAPaus.
Fügen Sie LDAP-Serverdetails hinzu.
Klicken Sie auf Erstellen.
Klicken Sie auf Weiter.

Konfigurieren von URL-Filtereinstellungen

Wählen Sie URL-Kategorisierung aktivieren aus und klicken Sie dann auf Binden.
Klicken Sie auf Hinzufügen.
Geben Sie einen Namen für die Richtlinie ein. Wählen Sie für Aktion die Einstellung Verweigern aus. Wählen Sie für URL-Kategorien die Optionen Illegal/Schädlich, Erwachsene und Malware und SPAMaus und verschieben Sie sie in die Liste Konfiguriert.
Klicken Sie auf Erstellen.
Wählen Sie die Richtlinie aus und klicken Sie dann auf Einfügen.
Klicken Sie auf Weiter.
Klicken Sie auf Weiter.
Klicken Sie auf Analytics aktivieren.
Geben Sie die IP-Adresse der NetScaler Console ein und geben Sie für Port 5557an.
Klicken Sie auf Weiter.
Klicken Sie auf Fertig.

Verwenden Sie NetScaler Console, um wichtige Kennzahlen für Benutzer anzuzeigen und Folgendes zu ermitteln:

Das Surfverhalten der Benutzer in Ihrem Unternehmen.
URL-Kategorien, auf die die Benutzer in Ihrem Unternehmen zugreifen.
Browser, mit denen auf die URLs oder Domains zugegriffen wurde.

Verwenden Sie diese Informationen, um festzustellen, ob das System des Benutzers mit Malware infiziert ist, oder um das Bandbreitenverbrauchsmuster des Benutzers zu verstehen. Sie können die Richtlinien auf Ihrer Citrix SWG-Appliance verfeinern, um diese Benutzer einzuschränken, oder einige weitere Websites blockieren. Weitere Informationen zum Anzeigen der Metriken auf MAS finden Sie im Anwendungsfall “Endpoints prüfen” in ADM-Anwendungsfällen.

Hinweis

Stellen Sie über die CLI die folgenden Parameter ein.

set syslogparams -sslInterception ENABLED

set cacheparameter -memLimit 100

set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

CLI-Beispiel

Das folgende Beispiel enthält alle Befehle, die zum Konfigurieren des Abhörens und Prüfens des Datenverkehrs zum und vom Unternehmensnetzwerk verwendet werden.

Allgemeine Konfiguration:

    add ns ip 192.0.2.5 255.255.255.0

    add ns ip 198.51.100.5 255.255.255.0 -type SNIP

    add dns nameServer 203.0.113.2

    add ssl certKey ns-swg-ca-certkey -cert ns_swg_ca.crt -key ns_swg_ca.key

    set syslogparams -sslInterception ENABLED

    set cacheparameter -memLimit 100

    set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

Konfiguration der Authentifizierung:

add authentication vserver explicit-auth-vs SSL

bind ssl vserver explicit-auth-vs -certkeyName ns-swg-ca-certkey

add authentication ldapAction swg-auth-action-explicit -serverIP 192.0.2.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword zzzzzz -ldapLoginName sAMAccountName

add authenticationpolicy swg-auth-policy -rule true -action swg-auth-action-explicit

bind authentication vserver explicit-auth-vs -policy swg-auth-policy -priority 1
<!--NeedCopy-->

Proxyserver- und SSL-Abfangkonfiguration:

add cs vserver explicitswg PROXY 192.0.2.100 80 –Authn401 ENABLED –authnVsName explicit-auth-vs

set ssl parameter -defaultProfile ENABLED

add ssl profile swg_profile -sslInterception ENABLED

bind ssl profile swg_profile -ssliCACertkey ns-swg-ca-certkey

set ssl vserver explicitswg -sslProfile swg_profile

add ssl policy ssli-pol_ssli -rule true -action INTERCEPT

bind ssl vserver explicitswg -policyName ssli-pol_ssli -priority 100 -type INTERCEPT_REQ
<!--NeedCopy-->

Konfiguration der URL-Kategorien:

add ssl policy cat_pol1_ssli -rule "client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Finance") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Email")" -action BYPASS

bind ssl vserver explicitswg -policyName cat_pol1_ssli -priority 10 -type INTERCEPT_REQ

add ssl policy cat_pol2_ssli -rule "client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Adult") || client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Malware and SPAM") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Illegal/Harmful")" -action RESET

bind ssl vserver explicitswg -policyName cat_pol2_ssli -priority 20 -type INTERCEPT_REQ
<!--NeedCopy-->

AppFlow-Konfiguration zum Abrufen von Daten in die NetScalerConsole:

add appflow collector _swg_testswg_apfw_cl -IPAddress 192.0.2.41 -port 5557 -Transport logstream

set appflow param -templateRefresh 60 -httpUrl ENABLED -AAAUserName ENABLED -httpCookie ENABLED -httpReferer ENABLED -httpMethod ENABLED -httpHost ENABLED -httpUserAgent ENABLED -httpContentType ENABLED -httpVia ENABLED -httpLocation ENABLED -httpDomain ENABLED -cacheInsight ENABLED -urlCategory ENABLED

add appflow action _swg_testswg_apfw_act -collectors _swg_testswg_apfw_cl -distributionAlgorithm ENABLED

add appflow policy _swg_testswg_apfw_pol true _swg_testswg_apfw_act

bind cs vserver explicitswg -policyName _swg_testswg_apfw_pol -priority 1
<!--NeedCopy-->

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Cloud Software Group Dokumentation maschinell übersetzt. Cloud Software Group hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Cloud Software Group Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Cloud Software Group gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Cloud Software Group kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

War dieser Artikel hilfreich?

NetScaler Secure Deployment Guide

Anwendungsfall: Konform und Sicherheit des Internetzugangs für Unternehmen

March 17, 2024

Beitrag von:

March 17, 2024

Beitrag von:

In diesem Artikel

Verwenden des SSL-Forward-Proxy-Assistenten zur Konfiguration des Abhörens und Prüfens des Datenverkehrs zum und vom Unternehmensnetzwerk
Konfigurieren Sie die Proxy-Einstellungen
Konfigurieren Sie die SSL-Abfangeinstellungen
Konfigurieren Sie die Benutzerauthentifizierungseinstellungen
Konfigurieren von URL-Filtereinstellungen
CLI-Beispiel

War dieser Artikel hilfreich?

NetScaler Secure Deployment Guide