Introducción a un dispositivo SWG Citrix® ADC MPX y VPX

Después de instalar tu dispositivo de hardware (MPX) o software (VPX) y realizar la configuración inicial, ya puedes configurarlo como un dispositivo de puerta de enlace web segura para recibir tráfico.

Importante:

• La comprobación OCSP requiere una conexión a Internet para verificar la validez de los certificados. Si tu dispositivo no es accesible desde Internet mediante la dirección NSIP, agrega listas de control de acceso (ACL) para realizar NAT desde la dirección NSIP a la dirección IP de subred (SNIP). La SNIP debe ser accesible desde Internet. Por ejemplo:

   add ns acl a1 ALLOW -srcIP = <NSIP> -destIP "!=" 10.0.0.0-10.255.255.255
  
   set rnat a1 -natIP <SNIP>
  
   apply acls
   <!--NeedCopy-->
  

• Especifica un servidor de nombres DNS para resolver nombres de dominio. Para obtener más información, consulta Configuración inicial.
• Asegúrate de que la fecha del dispositivo esté sincronizada con los servidores NTP. Si la fecha no está sincronizada, el dispositivo no puede verificar eficazmente si un certificado de servidor de origen ha caducado.

Para usar el dispositivo SWG de Citrix, debes realizar las siguientes tareas:

• Agrega un servidor proxy en modo explícito o transparente.
• Habilita la interceptación SSL.
  • Configura un perfil SSL.
  • Agrega y vincula políticas SSL al servidor proxy.
  • Agrega y vincula un par de certificado-clave de CA para la interceptación SSL.

Nota: Un dispositivo SWG de Citrix configurado en modo proxy transparente solo puede interceptar protocolos HTTP y HTTPS. Para omitir cualquier otro protocolo, como telnet, debes agregar la siguiente política de escucha en el servidor virtual proxy.

El servidor virtual ahora solo acepta tráfico entrante HTTP y HTTPS.

set cs vserver transparent-pxy1 PROXY * * -cltTimeout 180 -Listenpolicy "CLIENT.TCP.DSTPORT.EQ(80) || CLIENT.TCP.DSTPORT.EQ(443)"`
<!--NeedCopy-->

Es posible que debas configurar las siguientes funciones, según tu implementación:

• Servicio de autenticación (recomendado): para autenticar usuarios. Sin el Servicio de autenticación, la actividad del usuario se basa en la dirección IP del cliente.
• Filtrado de URL: para filtrar URL por categorías, puntuación de reputación y listas de URL.
• Análisis: para ver la actividad del usuario, los indicadores de riesgo del usuario, el consumo de ancho de banda y el desglose de transacciones en Citrix Application Delivery Management (ADM).

Nota: SWG implementa la mayoría de los estándares típicos de HTTP y HTTPS seguidos por productos similares. Esta implementación se realiza sin un navegador específico en mente y es compatible con la mayoría de los navegadores comunes. SWG se ha probado con navegadores comunes y versiones recientes de Google Chrome, Internet Explorer y Mozilla Firefox.

Asistente de puerta de enlace web segura

El asistente de SWG proporciona a los administradores una herramienta para gestionar toda la implementación de SWG mediante un navegador web. Ayuda a guiar a los clientes para poner en marcha un servicio SWG rápidamente y simplifica la configuración siguiendo una secuencia de pasos bien definidos.

1. Abre tu navegador web e introduce la dirección NSIP que especificaste durante la configuración inicial. Para obtener más información sobre la configuración inicial, consulta Configuración inicial.

2. Escribe tu nombre de usuario y contraseña.

   

3. Si no has especificado una dirección IP de subred (SNIP), aparece la siguiente pantalla.

   

   En Dirección IP de subred, introduce una dirección IP y una máscara de subred. La marca de verificación en un círculo verde indica que el valor está configurado.

4. En Nombre de host, Dirección IP de DNS y Zona horaria, agrega la dirección IP de un servidor DNS para resolver nombres de dominio y especifica tu zona horaria.

5. Haz clic en Continuar.

6. (Opcional) Es posible que veas un signo de exclamación, como se muestra a continuación:

   

   Esta marca indica que la función no está habilitada. Para habilitar la función, haz clic con el botón derecho en la función y, a continuación, haz clic en Habilitar función.

   

7. En el panel de navegación, haz clic en Puerta de enlace web segura. En Introducción, haz clic en Asistente de puerta de enlace web segura.

   

8. Sigue los pasos del asistente para configurar tu implementación.

Agrega una política de escucha al servidor proxy transparente

1. Ve a Puerta de enlace web segura > Servidores proxy. Selecciona el servidor proxy transparente y haz clic en Modificar.

2. Modifica Configuración básica y haz clic en Más.

3. En Prioridad de escucha, introduce 1.

4. En Expresión de política de escucha, introduce la siguiente expresión:

   (CLIENT.TCP.DSTPORT.EQ(80)||CLIENT.TCP.DSTPORT.EQ(443))
   <!--NeedCopy-->
   

   Esta expresión asume puertos estándar para el tráfico HTTP y HTTPS. Si has configurado puertos diferentes, por ejemplo, 8080 para HTTP u 8443 para HTTPS, modifica la expresión para reflejar esos puertos.

Limitaciones

SWG no es compatible con una configuración de clúster, en particiones de administración ni en un dispositivo Citrix ADC FIPS.