Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1
Ver PDF

Lista de URL

December 5, 2023
Contribución de: 
C

La función de lista de URL permite a los clientes empresariales controlar el acceso a sitios web y categorías de sitios web específicos. La función filtra los sitios web mediante la aplicación de una directiva de respuesta vinculada a un algoritmo de coincidencia de URL. El algoritmo compara la URL entrante con un conjunto de URL que consta de hasta un millón (1 000 000) de entradas. Si la solicitud de URL entrante coincide con una entrada del conjunto, el dispositivo utiliza la directiva de respuesta para evaluar la solicitud (HTTP/HTTPS) y controlar el acceso a ella.

Tipos de conjuntos de URL

Cada entrada de un conjunto de URL puede incluir una URL y, opcionalmente, sus metadatos (categoría de URL, grupos de categorías o cualquier otro dato relacionado). Para las direcciones URL con metadatos, el dispositivo utiliza una expresión de directiva que evalúa los metadatos. Para obtener más información, consulte Conjunto de URL.

El proxy de reenvío SSL admite conjuntos de URL personalizados. También puede utilizar conjuntos de patrones para filtrar las URL.

Conjunto de URL personalizado. Puede crear un conjunto de URL personalizado con hasta 1 000 000 entradas de URL e importarlo como un archivo de texto a su dispositivo.

Juego de patrones. Un dispositivo ADC puede usar conjuntos de patrones para filtrar las URL antes de conceder acceso a los sitios web. Un conjunto de patrones es un algoritmo de coincidencia de cadenas que busca una coincidencia exacta de cadenas entre una URL entrante y hasta 5000 entradas. Para obtener más información, consulte Conjunto de patrones.

Cada URL de un conjunto de URL importado puede tener una categoría personalizada en forma de metadatos de URL. Su organización puede alojar el conjunto y configurar el dispositivo ADC para que actualice periódicamente el conjunto sin necesidad de intervención manual.

Una vez actualizado el conjunto, el dispositivo Citrix ADC detecta automáticamente los metadatos. La categoría ahora está disponible como expresión de directiva para evaluar la URL y aplicar una acción como permitir, bloquear, redirigir o notificar al usuario.

Expresiones de directiva avanzadas utilizadas con conjuntos de URL

En la siguiente tabla se describen las expresiones básicas que puede utilizar para evaluar el tráfico entrante.

  1. .URLSET_MATCHES_ANY: se evalúa como TRUE si la URL coincide exactamente con cualquier entrada del conjunto de URL.
  2. .GET_URLSET_METADATA(): la expresión GET_URLSET_METADATA() devuelve los metadatos asociados si la URL coincide exactamente con algún patrón del conjunto de URL. Si no hay ninguna coincidencia, se devuelve una cadena vacía.
  3. .GET_ URLSET_METADATA().EQ(<METADATA) - .GET_ URLSET_METADATA().EQ(<METADATA)
  4. .GET_URLSET_METADATA() .TYPECAST_LIST_T (‘,’) .GET (0) .EQ(): se evalúa como TRUE si los metadatos coincidentes están al principio de la categoría. Este patrón se puede utilizar para codificar campos independientes dentro de los metadatos, pero solo coincide con el primer campo.
  5. HTTP.REQ.HOSTNAME.APPEND (HTTP.REQ.URL): une los parámetros host y URL, que luego se pueden utilizar para hacer coincidir.

Tipos de acciones de respuesta

Nota: En la tabla, HTTP.REQ.URL se generaliza como. <URL expression>

En la siguiente tabla se describen las acciones que se pueden aplicar al tráfico de Internet entrante.

Acción de respuesta Descripción
Permitir Permita que la solicitud acceda a la URL de destino.
Redirigir Redirige la solicitud a la URL especificada como destino.
Bloquear Rechaza la solicitud.

Requisitos previos

Configure un servidor DNS si importa un conjunto de URL desde la URL de un nombre de host. Esta configuración no es necesaria si utiliza una dirección IP.

En la línea de comandos, escriba:

add dns nameServer ((<IP> [-local]) | <dnsVserverName>) [-state (ENABLED | DISABLED )] [-type <type>] [-dnsProfileName <string>]

Ejemplo:

add dns nameServer 10.140.50.5

Configurar una lista de URL

Para configurar una lista de URL, puede utilizar el asistente de proxy de reenvío SSL de Citrix o la interfaz de línea de comandos (CLI) de Citrix ADC. En el dispositivo Citrix ADC, primero debe configurar la directiva de respuesta y, a continuación, vincular la directiva a un conjunto de URL.

Citrix recomienda utilizar el asistente de reenvío de proxy SSL de Citrix como opción preferida para configurar una lista de URL. Utilice el asistente para vincular una directiva de respuesta a un conjunto de URL. Como alternativa, puede vincular la directiva a un conjunto de patrones.

Configure una lista de URL mediante el asistente de reenvío de proxy SSL

Para configurar la lista de URL para el tráfico HTTPS mediante la interfaz gráfica de usuario:

  1. Vaya a la página Seguridad > SSL Forward Proxy.
  2. En el panel de detalles, realice una de las acciones siguientes:
    1. Haga clic en SSL Forward Proxy Wizard.
    2. Seleccione una configuración existente y haga clic en Modificar.
  3. En la sección Filtrado de URL, haga clic en Modificar.
  4. Seleccione la casilla Lista de URL para habilitar la función.
  5. Seleccione una directiva de lista de URL y haga clic en Enlazar.
  6. Haga clic en Continuar y, a continuación, en Listo.

Para obtener más información, consulte Cómo crear una directiva de lista de URL.

Configurar una lista de direcciones URL mediante la CLI

Para configurar una lista de URL, haga lo siguiente.

  1. Configure un servidor virtual proxy para el tráfico HTTP y HTTPS.
  2. Configure la intercepción SSL para interceptar el tráfico HTTPS.
  3. Configure una lista de URL que contenga un conjunto de URL para el tráfico HTTP.
  4. Configure la lista de URL que contenga las URL establecidas para el tráfico HTTPS.
  5. Configure un conjunto de URL privadas.

Nota

Si ya ha configurado un dispositivo ADC, puede omitir los pasos 1 y 2 y configurarlo con el paso 3.

Configuración de un servidor virtual proxy para el tráfico de Internet

El dispositivo Citrix ADC admite servidores virtuales proxy transparentes y explícitos. Para configurar un servidor virtual proxy para el tráfico de Internet en modo explícito, haga lo siguiente:

  1. Agregue un servidor virtual SSL proxy.
  2. Enlazar una directiva de respuesta al servidor virtual proxy.

Para agregar un servidor virtual proxy mediante la CLI:

En la línea de comandos, escriba:

add cs vserver <name> <serviceType> <IPAddress> <port>
<!--NeedCopy-->

Ejemplo:

add cs vserver starcs PROXY 10.102.107.121 80 -cltTimeout 180
<!--NeedCopy-->

Para vincular una directiva de respuesta a un servidor virtual proxy mediante la CLI:

bind ssl vserver <vServerName> -policyName <string> [-priority <positive_integer>]
<!--NeedCopy-->

Nota

Si ya ha configurado el interceptor SSL como parte de la configuración de Citrix ADC, puede omitir el siguiente procedimiento.

Configurar la interceptación SSL para el tráfico HTTPS

Para configurar la interceptación SSL para el tráfico HTTPS, haga lo siguiente:

  1. Enlace un par de claves de certificado de CA al servidor virtual proxy.
  2. Habilite el perfil SSL predeterminado.
  3. Cree un perfil SSL de front-end, vincúlelo al servidor virtual proxy y habilite la intercepción SSL en el perfil SSL de front-end.

Para vincular un par de claves de certificado de CA al servidor virtual proxy mediante la CLI:

En la línea de comandos, escriba:

bind ssl vserver <vServerName> -certkeyName <certificate-KeyPairName>
<!--NeedCopy-->

Para configurar un perfil SSL de front-end mediante la CLI:

En la línea de comandos, escriba:

set ssl parameter -defaultProfile ENABLED

add ssl profile <name> -sslInterception ENABLED -ssliMaxSessPerServer <positive_integer>
<!--NeedCopy-->

Para vincular un perfil SSL de front-end a un servidor virtual proxy mediante la CLI

En la línea de comandos, escriba:

set ssl vserver <vServer name>  -sslProfile <name>
<!--NeedCopy-->

Configurar una lista de direcciones URL importando un conjunto de direcciones URL para el tráfico HTTP

Para obtener información sobre cómo configurar un conjunto de URL para el tráfico HTTP, consulte Conjunto de URL.

Realizar coincidencia explícita de subdominio

Ahora puede realizar una coincidencia de subdominio explícita para un conjunto de URL importado. Se agrega un nuevo parámetro, “subdomainExactMatch”, al comando import policy URLset.

Al habilitar el parámetro, el algoritmo de filtrado de URL realiza una coincidencia de subdominio explícita. Por ejemplo, si la URL entrante es news.example.com y si la entrada del conjunto de URL es example.com, el algoritmo no coincide con las URL.

En la línea de comandos, escriba: import policy urlset <name> [-overwrite] [-delimiter <character>][-rowSeparator <character>] -url [-interval <secs>] [-privateSet][-subdomainExactMatch] [-canaryUrl <URL>]

Ejemplo import policy urlset test -url http://10.78.79.80/top-1k.csv -privateSet -subdomainExactMatch -interval 900

Configurar un conjunto de URL para el tráfico HTTPS

Para configurar un conjunto de URL para el tráfico HTTPS mediante la CLI

En el símbolo del sistema, escriba:

add ssl policy <name> -rule <expression> -action <string> [-undefAction <string>] [-comment <string>]
<!--NeedCopy-->

Ejemplo:

add ssl policy pol1 -rule client.ssl.client_hello.SNI.URLSET_MATCHES_ANY("top1m") -action INTERCEPT
<!--NeedCopy-->

Para configurar un conjunto de URL para el tráfico HTTPS mediante el asistente de reenvío de proxy de SSL

Citrix recomienda utilizar el asistente de reenvío de proxy SSL como la opción preferida para configurar una lista de URL. Utilice el asistente para importar un conjunto de URL personalizado y enlazarlo a una directiva de respuesta.

  1. Vaya a Seguridad > Proxy de reenvío SSL > Filtrado de URL > Listas de URL.
  2. En el panel de detalles, haga clic en Agregar.
  3. En la página URL List Policy, especifique el nombre de la directiva.
  4. Seleccione una opción para importar un conjunto de URL.
  5. En la página de la ficha Directiva de listas de URL, active la casilla Importar conjunto de URL y especifique los siguientes parámetros del conjunto de URL.
    1. Nombre del conjunto de URL: nombre del conjunto de URL personalizado.
    2. URL: dirección web de la ubicación desde la que se accede al conjunto de URL.
    3. Sobrescribir: sobrescribe un conjunto de URL importado anteriormente.
    4. Delimitador: secuencia de caracteres que delimita un registro de un archivo CSV.
    5. Separador de filas:separadorde filas utilizado en el archivo CSV.
    6. Intervalo: intervalo en segundos, redondeado al número de segundos más próximo, igual a 15 minutos, en el que se actualiza el conjunto de URL.
    7. Conjunto privado: opción para evitar la exportación del conjunto de URL.
    8. URL canaria: URL interna para comprobar si el contenido del conjunto de URL debe mantenerse confidencial. La longitud máxima de la URL es de 2047 caracteres.
  6. Seleccione una acción de respuesta de la lista desplegable.
  7. Haga clic en Crear y Cerrar.

Configurar un conjunto de URL privadas

Si configura un conjunto de direcciones URL privadas y mantiene su contenido confidencial, es posible que el administrador de red no conozca las direcciones URL incluidas en la lista de prohibidos del conjunto. Para estos casos, puede configurar una URL de Canary y agregarla al conjunto de URL. Con la URL de Canary, el administrador puede solicitar que se utilice el conjunto de URL privado para cada solicitud de búsqueda. Puede consultar la sección del asistente para obtener una descripción de cada parámetro.

Para importar un conjunto de URL mediante la CLI:

En la línea de comandos, escriba:

import policy urlset <name> [-overwrite] [-delimiter <character>] [-rowSeparator <character>] -url <URL> [-interval <secs>] [-privateSet] [-canaryUrl <URL>]
<!--NeedCopy-->

Ejemplo:

import policy urlset test1 -url http://10.78.79.80/alytra/top-1k.csv -private -canaryUrl http://www.in.gr
<!--NeedCopy-->

Mostrar conjunto de URL importado

Ahora puede mostrar los conjuntos de URL importados además de los conjuntos de URL añadidos. Se agrega un nuevo parámetro “importado” al show urlset comando. Si habilita esta opción, el dispositivo muestra todos los conjuntos de URL importados y distingue los conjuntos de URL importados de los conjuntos de URL añadidos.

En la línea de comandos, escriba: show policy urlset [<name>] [-imported]

Ejemplo show policy urlset -imported

Configurar los mensajes del registro de auditoría

El registro de auditoría le permite revisar una condición o una situación en cualquier fase de un proceso de lista de URL. Cuando un dispositivo Citrix ADC recibe una URL entrante, si la directiva de respuesta tiene una expresión de directiva avanzada de conjunto de URL, la función de registro de auditoría recopila la información del conjunto de URL en la URL. Almacena los detalles como un mensaje de registro para cualquier objetivo permitido por el registro de auditoría.

El mensaje de registro contiene la siguiente información:

  1. Marca de tiempo.
  2. Tipo de mensaje de registro.
  3. Los niveles de registro predefinidos (crítico, de error, de aviso, de advertencia, informativo, de depuración, de alerta y de emergencia).
  4. Registre la información del mensaje, como el nombre del conjunto de URL, la acción directiva o la URL.

Para configurar el registro de auditoría para la función de lista de URL, debe realizar las siguientes tareas:

  1. Habilitar registros de auditoría.
  2. Acción de mensaje Crear registro de auditoría.
  3. Establecer la directiva de respuesta de lista de URL con la acción de mensaje Registro de auditoría.

Para obtener más información, consulte el tema Registro de auditoría.

Lista de URL
December 5, 2023
Contribución de: 
C
December 5, 2023
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.