Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Intégration avec IPS ou NGFW en tant que périphériques en ligne à l’aide d’un proxy de transfert SSL

December 5, 2023
Contributeur: 
C

Les dispositifs de sécurité tels que le système de prévention des intrusions (IPS) et le pare-feu de nouvelle génération (NGFW) protègent les serveurs contre les attaques réseau. Ces périphériques peuvent inspecter le trafic en direct et sont généralement déployés en mode Inline de couche 2. L’appliance SSL Forward Proxy assure la sécurité des utilisateurs et du réseau de l’entreprise lors de l’accès aux ressources sur Internet.

Une appliance proxy SSL peut être intégrée à un ou plusieurs appareils en ligne pour prévenir les menaces et fournir une protection de sécurité avancée. Les périphériques en ligne peuvent être n’importe quel périphérique de sécurité, tel que IPS et NGFW.

Voici quelques cas d’utilisation dans lesquels vous pouvez bénéficier de l’utilisation de l’appliance SSL Forward Proxy et de l’intégration des appareils en ligne :

  • Inspection du trafic chiffré : la plupart des appliances IPS et NGFW contournent le trafic chiffré, ce qui peut rendre les serveurs vulnérables aux attaques. Un dispositif de proxy de transfert SSL peut déchiffrer le trafic et l’envoyer aux appareils en ligne pour inspection. Cette intégration améliore la sécurité réseau du client.

  • Déchargement des périphériques en ligne du traitement TLS/SSL : le traitement TLS/SSL est coûteux, ce qui peut entraîner une utilisation élevée du processeur dans les appliances IPS ou NGFW s’ils décryptent également le trafic. Une appliance SSL Forward Proxy permet de décharger le traitement TLS/SSL des appareils en ligne. Par conséquent, les appareils en ligne peuvent inspecter un volume plus élevé de trafic.

  • Appareils en ligne d’équilibrage de charge : si vous avez configuré plusieurs appareils en ligne pour gérer un trafic important, une appliance SSL Forward Proxy peut équilibrer la charge et répartir le trafic de manière uniforme entre ces appareils.

  • Sélection intelligente du trafic : au lieu d’envoyer tout le trafic au périphérique en ligne pour inspection, l’appliance effectue une sélection intelligente du trafic. Par exemple, il ignore l’envoi de fichiers texte pour inspection aux périphériques en ligne.

Intégration du proxy de transfert SSL avec les appareils en ligne

Le schéma suivant montre comment un proxy de transfert SSL est intégré aux dispositifs de sécurité en ligne.

présentation ips

Lorsque vous intégrez des appareils en ligne à l’appliance SSL Forward Proxy, les composants interagissent comme suit :

  1. Un client envoie une demande à un dispositif de proxy de transfert SSL.

  2. L’appliance envoie les données au dispositif en ligne pour inspection du contenu sur la base de l’évaluation des stratégies. Pour le trafic HTTPS, l’appliance déchiffre les données et les envoie en texte brut au périphérique en ligne pour inspection du contenu.

    Remarque

    S’il existe deux appareils en ligne ou plus, la charge de l’appliance équilibre les appareils et envoie le trafic.

  3. Ajoutez un serveur virtuel de commutation de contenu ou d’équilibrage de charge HTTP/HTTPS.
  4. Le périphérique en ligne inspecte les données à la recherche de menaces et décide de supprimer, de réinitialiser ou de renvoyer les données à l’appliance.
  5. S’il existe des menaces de sécurité, le périphérique modifie les données et les envoie à l’appliance.
  6. Pour le trafic HTTPS, l’appliance chiffre à nouveau les données et transmet la demande au serveur principal.
  7. Le serveur principal envoie la réponse à l’appliance.
  8. L’appliance déchiffre à nouveau les données et les envoie au périphérique en ligne pour inspection.
  9. Le dispositif en ligne inspecte les données. S’il existe des menaces de sécurité, le périphérique modifie les données et les envoie à l’appliance.
  10. L’appliance chiffre à nouveau les données et envoie la réponse au client.

Configuration de l’intégration de périphériques en ligne

Vous pouvez configurer un dispositif de proxy de transfert SSL avec un périphérique en ligne de trois manières différentes, comme suit :

Scénario 1 : Utilisation d’un seul périphérique en ligne

Pour intégrer un dispositif de sécurité (IPS ou NGFW) en mode intégré, vous devez activer l’inspection du contenu et le transfert basé sur MAC (MBF) en mode global sur l’appliance SSL Forward Proxy. Ensuite, ajoutez un profil d’inspection de contenu, un service TCP, une action d’inspection de contenu pour les périphériques en ligne pour réinitialiser, bloquer ou supprimer le trafic basé sur l’inspection. Ajoutez également une stratégie d’inspection du contenu que l’appliance utilise pour déterminer le sous-ensemble de trafic à envoyer aux appareils en ligne. Enfin, configurez le serveur virtuel proxy avec la connexion de couche 2 activée sur le serveur et liez la stratégie d’inspection du contenu à ce serveur virtuel proxy.

Un seul appareil en ligne

Procédez comme suit :

  1. Activez le mode de transfert basé sur Mac (MPF).
  2. Activez la fonction d’inspection du contenu.
  3. Ajoutez un profil d’inspection de contenu pour le service. Le profil d’inspection du contenu contient les paramètres de l’appareil en ligne qui intègrent l’appliance SSL Forward Proxy à un périphérique en ligne.

  4. (Facultatif) Ajoutez un moniteur TCP.

    Remarque :

    Les appareils transparents n’ont pas d’adresse IP. Par conséquent, pour effectuer des contrôles de santé, vous devez lier explicitement un moniteur.

  5. Ajoutez un service. Un service représente un appareil en ligne.
  6. (Facultatif) Liez le service au moniteur TCP.
  7. Ajoutez une action d’inspection du contenu pour le service.
  8. Ajoutez une stratégie d’inspection du contenu et spécifiez l’action.
  9. Ajoutez un serveur virtuel proxy HTTP ou HTTPS (commutation de contenu).
  10. Liez la stratégie d’inspection du contenu au serveur virtuel.

Configuration à l’aide de la CLI

Tapez les commandes suivantes à l’invite de commande. Des exemples sont donnés après la plupart des commandes.

  1. Activez MBF.

enable ns mode mbf

  1. Activez la fonctionnalité.

enable ns feature contentInspection

  1. Ajoutez un profil d’inspection du contenu.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof -type InlineInspection -ingressinterface “1/2” -egressInterface “1/3”

  1. Ajoutez un service. Spécifiez une adresse IP fictive qui n’appartient à aucun des appareils, y compris les appareils en ligne. Réglez use source IP address (USIP) sur OUI. Réglez useproxyport sur NON. Par défaut, la surveillance de l’état est activée, liez le service à un moniteur de santé et définissez également l’option TRANSPARENT dans le moniteur sur ON.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor YES -usip YES –useproxyport NO

Exemple :

add service ips_service 198.51.100.2 TCP * -healthMonitor YES -usip YES -useproxyport NO -contentInspectionProfileName ipsprof

  1. Ajoutez un moniteur de santé. Par défaut, le moniteur de santé est activé et vous avez également la possibilité de le désactiver, si nécessaire. À l’invite de commandes, tapez :

    add lb monitor <name> TCP -destIP <ip address> -destPort 80 -transparent <YES, NO>

Exemple :

add lb monitor ips_tcp TCP -destIP 192.168.10.2 -destPort 80 -transparent YES

  1. Liez le service au moniteur de santé

Après avoir configuré le moniteur de santé, vous devez lier le service au moniteur de santé. À l’invite de commandes, tapez :

bind service <name> -monitorName <name>

Exemple :

bind service ips_svc -monitorName ips_tcp

  1. Ajoutez une action d’inspection du contenu.

add contentInspection action <name> -type INLINEINSPECTION -serverName <string>

Exemple :

add contentInspection action ips_action -type INLINEINSPECTION -serverName ips_service

  1. Ajoutez une stratégie d’inspection du contenu.

add contentInspection policy <name> -rule <expression> -action <string>

Exemple :

add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE(\"CONNECT\")" -action ips_action

  1. Ajoutez un serveur virtuel proxy.

add cs vserver <name> PROXY <IPAddress> <port> -cltTimeout <secs> -Listenpolicy <expression> -authn401 ( ON | OFF ) -authnVsName <string> -l2Conn ON

Remarque :

Les serveurs virtuels d’équilibrage de charge de type HTTP/SSL sont également pris en charge.

Exemple :

add cs vserver transparentcs PROXY * * -cltTimeout 180 -Listenpolicy exp1 -authn401 on -authnVsName swg-auth-vs-trans-http -l2Conn ON

  1. Liez la stratégie au serveur virtuel.

bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST

Exemple :

bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST

Configuration à l’aide de l’interface graphique

  1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

  2. Sur la page Configurer les modes, sélectionnez l’option de transfert basée sur MAC .

  3. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

  4. Sur la page Configurer les fonctionnalités avancées, sélectionnez l’option Inspection du contenu .

  5. Accédez à Sécurité > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

  6. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service.

    1. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment.

    2. Dans les paramètres du service, définissez Utiliser l’adresse IP source sur OUI et Utiliser le port proxy sur Non. Dans les paramètres de base, réglez la surveillance de l’état sur NON.

    3. Activez la surveillance de l’état uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

  7. Accédez à Sécurité > Serveurs virtuels proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

  8. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

  9. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

  10. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le service TCP créé précédemment.

  11. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

  12. Cliquez sur Bind.

  13. Cliquez sur Terminé.

Scénario 2 : Équilibrez la charge de plusieurs appareils en ligne avec des interfaces dédiées

Si vous utilisez au moins deux périphériques en ligne, vous pouvez équilibrer la charge des périphériques à l’aide de différents services d’inspection de contenu avec des interfaces dédiées. Dans ce cas, l’appliance SSL Forward Proxy équilibre la charge du sous-ensemble du trafic envoyé à chaque appareil via une interface dédiée. Le sous-ensemble est décidé en fonction des stratégies configurées. Par exemple, les fichiers TXT ou image peuvent ne pas être envoyés pour inspection aux périphériques en ligne.

Plusieurs appareils en ligne

La configuration de base reste la même que dans le scénario 1. Toutefois, vous devez créer un profil d’inspection du contenu pour chaque appareil en ligne et spécifier l’interface d’entrée et de sortie dans chaque profil. Ajoutez un service pour chaque appareil en ligne. Ajoutez un serveur virtuel d’équilibrage de charge et spécifiez-le dans l’action d’inspection du contenu. Effectuez les étapes supplémentaires suivantes :

  1. Ajoutez des profils d’inspection du contenu pour chaque service.
  2. Ajoutez un service pour chaque appareil.
  3. Ajoutez un serveur virtuel d’équilibrage de charge.
  4. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

Configuration à l’aide de la CLI

Tapez les commandes suivantes à l’invite de commande. Des exemples sont donnés après chaque commande.

  1. Activez MBF.

enable ns mode mbf

  1. Activez la fonctionnalité.

enable ns feature contentInspection

  1. Ajoutez le profil 1 pour le service 1.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof1 -type InlineInspection -ingressInterface "1/2" -egressInterface "1/3"

  1. Ajoutez le profil 2 pour le service 2.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof2 -type InlineInspection -ingressInterface "1/4" -egressInterface "1/5"

  1. Ajoutez le service 1. Spécifiez une adresse IP fictive qui n’appartient à aucun des appareils, y compris les appareils en ligne. Réglez use source IP address (USIP) sur OUI. Réglez useproxyport sur NON. Activez la surveillance de l’état de santé avec le moniteur TCP avec l’option TRANSPARENT activée.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO

Exemple :

add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1

  1. Ajoutez le service 2. Spécifiez une adresse IP fictive qui n’appartient à aucun des appareils, y compris les appareils en ligne. Réglez use source IP address (USIP) sur OUI. Réglez useproxyport sur NON. Activez la surveillance de l’état de santé avec l’option TRANSPARENT activée.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO

Exemple :

add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof2

  1. Ajoutez un serveur virtuel d’équilibrage de charge.

add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>

Exemple :

add lb vserver lb_inline_vserver TCP 192.0.2.100 *

  1. Liez les services au serveur virtuel d’équilibrage de charge.

bind lb vserver <LB_VSERVER_NAME> <service_name> bind lb vserver <LB_VSERVER_NAME> <service_name>

Exemple :

bind lb vserver lb_inline_vserver ips_service1 bind lb vserver lb_inline_vserver ips_service2

  1. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

add contentInspection action <name> -type INLINEINSPECTION -serverName <string>

Exemple :

add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver

  1. Ajoutez une stratégie d’inspection du contenu. Spécifiez l’action d’inspection du contenu dans la stratégie.

add contentInspection policy <name> -rule <expression> -action <string>

Exemple :

add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE(\"CONNECT\")" -action ips_action

  1. Ajoutez un serveur virtuel proxy.

add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON

Exemple :

add cs vserver transparentcs PROXY * * -l2Conn ON

  1. Liez la stratégie d’inspection du contenu au serveur virtuel.

bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST

Exemple :

bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST

Configuration à l’aide de l’interface graphique

  1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

  2. Sur la page Configurer les modes, sélectionnez l’option de transfert basée sur MAC .

  3. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

  4. Sur la page Configurer les fonctionnalités avancées, sélectionnez l’option Inspection du contenu .

  5. Accédez à Sécurité > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

  6. Spécifiez les interfaces d’entrée et de sortie.

  7. Créez deux profils. Spécifiez une interface d’entrée et de sortie différente dans le second profil.

  8. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service.

    1. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment.

    2. Dans les paramètres du service, définissez Utiliser l’adresse IP source sur OUI et Utiliser le port proxy sur Non. Dans les paramètres de base, réglez la surveillance de l’état sur NON.

    3. Activez la surveillance de l’état uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

    Créez deux services. Spécifiez des adresses IP factices qui ne sont détenues par aucun des appareils, y compris les périphériques en ligne.

  9. Accédez à Équilibrage de charge > Serveurs virtuels > Ajouter. Créez un serveur virtuel d’équilibrage de charge TCP et cliquez sur OK.

  10. Cliquez sur la section Liaison de service du serveur virtuel d’équilibrage de charge. Dans Service Binding, cliquez sur la flèche dans Select Service. Sélectionnez les deux services créés précédemment, puis cliquez sur Sélectionner. Cliquez sur Bind.

  11. Accédez à Sécurité > Serveurs virtuels proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

  12. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

  13. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

  14. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le serveur virtuel d’équilibrage de charge créé précédemment.

  15. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

  16. Cliquez sur Bind.

  17. Cliquez sur Terminé.

Scénario 3 : Équilibrez la charge de plusieurs appareils en ligne avec des interfaces partagées

Si vous utilisez au moins deux périphériques en ligne, vous pouvez équilibrer la charge des périphériques à l’aide de différents services d’inspection de contenu avec des interfaces partagées. Dans ce cas, l’appliance SSL Forward Proxy équilibre la charge du sous-ensemble du trafic envoyé à chaque appareil via une interface partagée. Le sous-ensemble est décidé en fonction des stratégies configurées. Par exemple, les fichiers TXT ou image peuvent ne pas être envoyés pour inspection aux périphériques en ligne.

Plusieurs appareils en ligne avec interface partagée

La configuration de base reste la même que dans le scénario 2. Pour ce scénario, liez les interfaces à différents VLAN pour séparer le trafic de chaque périphérique en ligne. Spécifiez les VLAN dans les profils d’inspection du contenu. Effectuez les étapes supplémentaires suivantes :

  1. Liez les interfaces partagées à différents VLAN.

  2. Spécifiez les VLAN d’entrée et de sortie dans les profils d’inspection du contenu.

Configuration à l’aide de l’interface de ligne de commande

Tapez les commandes suivantes à l’invite de commande. Des exemples sont donnés après chaque commande.

  1. Activez MBF.

enable ns mode mbf

  1. Activez la fonctionnalité.

enable ns feature contentInspection

  1. Liez les interfaces partagées à différents VLAN.

    bind vlan <id> -ifnum <interface> -tagged

Exemple :

bind vlan 100 –ifnum 1/2 tagged
bind vlan 200 –ifnum 1/3 tagged
bind vlan 300 –ifnum 1/2 tagged
bind vlan 400 –ifnum 1/3 tagged
<!--NeedCopy-->
  1. Ajoutez le profil 1 pour le service 1. Spécifiez les VLAN d’entrée et de sortie dans le profil.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof1 -type InlineInspection -egressInterface “1/3” -ingressinterface “1/2” –egressVlan 100 -ingressVlan 300

  1. Ajoutez le profil 2 pour le service 2. Spécifiez les VLAN d’entrée et de sortie dans le profil.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof2 -type InlineInspection -egressInterface “1/3” -ingressinterface “1/2” –egressVlan 200 -ingressVlan 400

  1. Ajoutez le service 1.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO

Exemple :

add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1

  1. Ajoutez le service 2.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO

Exemple :

add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof2

  1. Ajoutez un serveur virtuel d’équilibrage de charge.

add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>

Exemple :

add lb vserver lb_inline_vserver TCP 192.0.2.100 *

  1. Liez les services au serveur virtuel d’équilibrage de charge.

bind lb vserver <LB_VSERVER_NAME> <service_name> bind lb vserver <LB_VSERVER_NAME> <service_name>

Exemple :

bind lb vserver lb_inline_vserver ips_service1 bind lb vserver lb_inline_vserver ips_service2

  1. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

add contentInspection action <name> -type INLINEINSPECTION -serverName <string>

Exemple :

add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver

  1. Ajoutez une stratégie d’inspection du contenu. Spécifiez l’action d’inspection du contenu dans la stratégie.

add contentInspection policy <name> -rule <expression> -action <string>

Exemple :

add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE(\"CONNECT\")" -action ips_action

  1. Ajoutez un serveur virtuel proxy.

add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON

Exemple :

add cs vserver transparentcs PROXY * * -l2Conn ON

  1. Liez la stratégie d’inspection du contenu au serveur virtuel.

bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST

Exemple :

bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST

Configuration à l’aide de l’interface graphique

  1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

  2. Sur la page Configurer les modes, sélectionnez l’option de transfert basée sur MAC .

  3. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

  4. Sur la page Configurer les fonctionnalités avancées, sélectionnez l’option Inspection du contenu .

  5. Accédez à Système > Réseau > VLAN > Ajouter. Ajoutez quatre VLAN et attachez-les aux interfaces.

  6. Accédez à Sécurité > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

  7. Spécifiez les VLAN d’entrée et de sortie.

  8. Créez d’autres profils. Spécifiez un VLAN d’entrée et de sortie différent dans le second profil.

  9. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service.

    1. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment.

    2. Dans les paramètres du service, définissez Utiliser l’adresse IP source sur OUI et Utiliser le port proxy sur Non. Dans les paramètres de base, réglez la surveillance de l’état sur NON.

    3. Activez la surveillance de l’état uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

    Créez deux services. Spécifiez des adresses IP factices qui ne sont détenues par aucun des appareils, y compris les périphériques en ligne. Spécifiez le profil 1 dans le service 1 et le profil 2 dans le service 2.

  10. Accédez à Équilibrage de charge > Serveurs virtuels > Ajouter. Créez un serveur virtuel d’équilibrage de charge TCP et cliquez sur OK.

  11. Cliquez sur la section Liaison de service du serveur virtuel d’équilibrage de charge. Dans Service Binding, cliquez sur la flèche dans Select Service. Sélectionnez les deux services créés précédemment, puis cliquez sur Sélectionner. Cliquez sur Bind.

  12. Accédez à Sécurité > Serveurs virtuels proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

  13. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

  14. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

  15. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le serveur virtuel d’équilibrage de charge créé précédemment.

  16. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.
  17. Cliquez sur Bind.
  18. Cliquez sur Terminé.
Intégration avec IPS ou NGFW en tant que périphériques en ligne à l’aide d’un proxy de transfert SSL
December 5, 2023
Contributeur: 
C
December 5, 2023
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.