Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1

Caso de uso: Hacer que el acceso a Internet empresarial sea seguro y compatible

March 16, 2024
Contribución de: 
C

El director de seguridad de red de una organización financiera quiere proteger la red empresarial de cualquier amenaza externa proveniente de la web en forma de malware. Para ello, el director necesita obtener visibilidad sobre el tráfico cifrado que de otro modo se pasaría por alto y controlar el acceso a sitios web maliciosos. El director debe hacer lo siguiente:

  • Intercepte y examine todo el tráfico, incluido SSL/TLS (tráfico cifrado), que entra y sale de la red empresarial.
  • Evite la interceptación de solicitudes a sitios web que contengan información confidencial, como información financiera del usuario o correos electrónicos.
  • Bloquea el acceso a URL dañinas identificadas como contenido dañino o para adultos.
  • Identifique a los usuarios finales (empleados) de la empresa que acceden a sitios web maliciosos y bloquee el acceso a Internet de estos usuarios o bloquee las URL dañinas.

Para lograr todo lo anterior, el director puede configurar un servidor proxy. El servidor proxy intercepta todo el tráfico cifrado y no cifrado que pasa por la red empresarial. Solicita la autenticación del usuario y asocia el tráfico a un usuario. Las categorías de URL se pueden especificar para bloquear el acceso a sitios web ilegales/nocivos, para adultos, malware y SPAM.

Configure las siguientes entidades:

  • servidor de nombres DNS para resolver los nombres de host.
  • Dirección IP de subred (SNIP) para establecer una conexión con los servidores de origen. La dirección SNIP debe tener acceso a Internet.
  • Servidor proxy en modo explícito para interceptar todo el tráfico HTTP y HTTPS saliente.
  • Perfil SSL para definir la configuración SSL, como cifrados y parámetros, para las conexiones.
  • Par de claves de certificado de CA para firmar el certificado de servidor para la interceptación SSL.
  • Directiva SSL para definir los sitios web a interceptar y evitar.
  • Servidor virtual de autenticación, directiva y acción para garantizar que solo se conceda acceso a los usuarios válidos.
  • Recopilador de AppFlow para enviar datos a NetScaler Application Delivery Management (ADM).

Los procedimientos de CLI y GUI se enumeran para esta configuración de ejemplo. Se utilizan los siguientes valores de muestra. Sustitúyalos por datos válidos para direcciones IP, certificado y clave SSL y parámetros LDAP.

Nombre Valores utilizados en la configuración de ejemplo
Dirección NSIP 192.0.2.5
Dirección IP de subred 198.51.100.5
Dirección IP del servidor virtual LDAP 192.0.2.116
Dirección IP del servidor de nombres DNS 203.0.113.2
Dirección IP del servidor proxy 192.0.2.100
Dirección IP MAS 192.0.2.41
Certificado de CA para interceptación SSL ns-swg-ca-certkey (certificado: ns_swg_ca.crt y clave: ns_swg_ca.key)
Base LDAP DN CN=Usuarios, DC=CTXNSSFB, DC=COM
DN de enlace LDAP CN=Administrador, CN=Usuarios, DC=CTXNSSFB, DC=COM
Contraseña de DN de enlace LDAP zzzzz

Uso del asistente de proxy de reenvío SSL para configurar la interceptación y el examen del tráfico hacia y desde la red empresarial

Para crear una configuración para interceptar y examinar el tráfico cifrado, además del resto del tráfico hacia y desde una red, es necesario configurar los valores de proxy, interceptación SSL, autenticación de usuarios y filtrado de URL. En los procedimientos siguientes se incluyen ejemplos de los valores introducidos.

Configurar los ajustes del proxy

  1. Vaya a Seguridad > Proxy de reenvío SSL> Asistente para proxyde reenvío SSL.

  2. Haga clic en Comenzar y, a continuación, en Continuar.

  3. En el cuadro de diálogo Configuración del proxy, introduzca un nombre para el servidor proxy explícito.

  4. Para el modo de captura, selecciona Explícito.

  5. Introduzca una dirección IP y un número de puerto.

    Proxy explícito

  6. Haga clic en Continuar.

Configurar los ajustes de interceptación SSL

  1. Seleccione Habilitar la intercepción SSL.

    Intercepción SSL

  2. En Perfil SSL, haga clic en “+” para agregar un nuevo perfil SSL front-end y habilitar la interceptación de sesiones SSL en este perfil.

    Perfil SSL

  3. Haga clic en Aceptar y, a continuación, haga clic en Listo.

  4. En Seleccionar par de claves de certificado de CA de interceptación SSL, haga clic en “+” para instalar un par de claves de certificado de CA para la interceptación SSL.

    Par de claves de certificado de interceptación SSL

  5. Haga clic en Instalar y, a continuación, en Cerrar.

  6. Agrega una directiva para interceptar todo el tráfico. Haga clic en Enlazar y, a continuación, en Agregar.

    Agregar directiva SSL

  7. Escriba un nombre para la directiva y seleccione Avanzada. En el editor de expresiones, escriba true.

  8. En Acción, seleccione INTERCEPCIÓN.

    Directiva SSL true

  9. Haga clic en Crear y, a continuación, haga clic en Agregar para agregar otra directiva para omitir la información confidencial.

  10. Introduzca un nombre para la directiva y, en Categorías de URL, haga clic en Agregar.

  11. Seleccione las categorías Finanzas y Correo electrónico y muévalas a la lista Configurado.

  12. En Acción, seleccione PASIVAR.

    Omisión de la directiva de interceptación SSL

  13. Haga clic en Crear.

  14. Seleccione las dos directivas creadas anteriormente y haga clic en Insertar.

    Directivas SSL

  15. Haga clic en Continuar.

    Directivas SSL

Configurar la configuración de autenticación de usuarios

  1. Seleccione Habilitar autenticación de usuarios. En el campo Tipo de autenticación, seleccione LDAP.

    Autenticación de usuarios

  2. Agregar detalles del servidor LDAP.

    Detalles del servidor LDAP

  3. Haga clic en Crear.

  4. Haga clic en Continuar.

Configurar los ajustes de filtrado de URL

  1. Seleccione Habilitar categorización de URL y, a continuación, haga clic en Vincular.

    categorización de URL

  2. Haga clic en Agregar.

    Agregar directiva de categorización de URL

  3. Introduzca un nombre para la directiva. En Acción, seleccione Denegar. En Categorías de URL, seleccione Ilegal/Nocivo, Adultoy Malware y SPAMy muévalas a la lista Configurado.

    Directiva de categorización de URL

  4. Haga clic en Crear.

  5. Seleccione la directiva y, a continuación, haga clic en Insertar.

    Insertar directiva de categorización de URL

  6. Haga clic en Continuar.

    categorización de URL

  7. Haga clic en Continuar.

  8. Haga clic en Habilitar análisis.

  9. Introduzca la dirección IP de NetScaler Console y, paraPuerto, especifique 5557.

    Habilitar análisis

  10. Haga clic en Continuar.

  11. Haga clic en Listo.

    Pantalla final del asistente

Utilice NetScaler Console para ver las métricas clave de los usuarios y determinar lo siguiente:

  • El comportamiento de navegación de los usuarios de su empresa.
  • Categorías de URL a las que acceden los usuarios de su empresa.
  • Exploradores utilizados para acceder a las URL o dominios.

Utilice esta información para determinar si el sistema del usuario está infectado por malware o para comprender el patrón de consumo de ancho de banda del usuario. Puede ajustar las directivas del dispositivo Citrix SWG para restringir estos usuarios o bloquear algunos sitios web más. Para obtener más información sobre cómo ver las métricas en MAS, consulte el caso de uso “Inspección de puntos finales” en casos de uso de ADM.

Nota

Defina los siguientes parámetros mediante la CLI.

set syslogparams -sslInterception ENABLED

set cacheparameter -memLimit 100

set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

Ejemplo de CLI

En el siguiente ejemplo se incluyen todos los comandos utilizados para configurar la interceptación y el examen del tráfico hacia y desde la red empresarial.

Configuración general:

    add ns ip 192.0.2.5 255.255.255.0

    add ns ip 198.51.100.5 255.255.255.0 -type SNIP

    add dns nameServer 203.0.113.2

    add ssl certKey ns-swg-ca-certkey -cert ns_swg_ca.crt -key ns_swg_ca.key

    set syslogparams -sslInterception ENABLED

    set cacheparameter -memLimit 100

    set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

Configuración de autenticación:

add authentication vserver explicit-auth-vs SSL

bind ssl vserver explicit-auth-vs -certkeyName ns-swg-ca-certkey

add authentication ldapAction swg-auth-action-explicit -serverIP 192.0.2.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword zzzzzz -ldapLoginName sAMAccountName

add authenticationpolicy swg-auth-policy -rule true -action swg-auth-action-explicit

bind authentication vserver explicit-auth-vs -policy swg-auth-policy -priority 1
<!--NeedCopy-->

Configuración del servidor proxy y de interceptación SSL:

add cs vserver explicitswg PROXY 192.0.2.100 80 –Authn401 ENABLED –authnVsName explicit-auth-vs

set ssl parameter -defaultProfile ENABLED

add ssl profile swg_profile -sslInterception ENABLED

bind ssl profile swg_profile -ssliCACertkey ns-swg-ca-certkey

set ssl vserver explicitswg -sslProfile swg_profile

add ssl policy ssli-pol_ssli -rule true -action INTERCEPT

bind ssl vserver explicitswg -policyName ssli-pol_ssli -priority 100 -type INTERCEPT_REQ
<!--NeedCopy-->

Configuración de categorías URL:

add ssl policy cat_pol1_ssli -rule "client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Finance") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Email")" -action BYPASS

bind ssl vserver explicitswg -policyName cat_pol1_ssli -priority 10 -type INTERCEPT_REQ

add ssl policy cat_pol2_ssli -rule "client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Adult") || client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Malware and SPAM") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Illegal/Harmful")" -action RESET

bind ssl vserver explicitswg -policyName cat_pol2_ssli -priority 20 -type INTERCEPT_REQ
<!--NeedCopy-->

Configuración de AppFlow para transferir datos a NetScalerConsole:

add appflow collector _swg_testswg_apfw_cl -IPAddress 192.0.2.41 -port 5557 -Transport logstream

set appflow param -templateRefresh 60 -httpUrl ENABLED -AAAUserName ENABLED -httpCookie ENABLED -httpReferer ENABLED -httpMethod ENABLED -httpHost ENABLED -httpUserAgent ENABLED -httpContentType ENABLED -httpVia ENABLED -httpLocation ENABLED -httpDomain ENABLED -cacheInsight ENABLED -urlCategory ENABLED

add appflow action _swg_testswg_apfw_act -collectors _swg_testswg_apfw_cl -distributionAlgorithm ENABLED

add appflow policy _swg_testswg_apfw_pol true _swg_testswg_apfw_act

bind cs vserver explicitswg -policyName _swg_testswg_apfw_pol -priority 1
<!--NeedCopy-->
Caso de uso: Hacer que el acceso a Internet empresarial sea seguro y compatible
March 16, 2024
Contribución de: 
C
March 16, 2024
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.