Documentation Produit
ADC
Current Release 13.0 12.1
Voir PDF

Intégration avec IPS ou NGFW en tant que périphériques en ligne à l’aide du proxy de transfert SSL

October 4, 2021
Contributeur: 
C

Les dispositifs de sécurité tels que le système de prévention des intrusions (IPS) et le pare-feu de nouvelle génération (NGFW) protègent les serveurs contre les attaques réseau. Ces périphériques peuvent inspecter le trafic en direct et sont généralement déployés en mode Inline de couche 2. L’appliance proxy de transfert SSL assure la sécurité des utilisateurs et du réseau d’entreprise lors de l’accès aux ressources sur Internet.

Une appliance proxy de transfert SSL peut être intégrée à un ou plusieurs périphériques en ligne pour prévenir les menaces et fournir une protection de sécurité avancée. Les périphériques en ligne peuvent être n’importe quel périphérique de sécurité, tel que IPS et NGFW.

Certains cas d’utilisation dans lesquels vous pouvez tirer parti de l’appliance proxy de transfert SSL et de l’intégration de périphériques en ligne sont les suivants :

  • Inspection du trafic chiffré : la plupart des appliances IPS et NGFW contournent le trafic chiffré, ce qui peut rendre les serveurs vulnérables aux attaques. Une appliance proxy de transfert SSL peut déchiffrer le trafic et l’envoyer aux périphériques en ligne pour inspection. Cette intégration améliore la sécurité réseau du client.

  • Déchargement des périphériques en ligne du traitement TLS/SSL : le traitement TLS/SSL est coûteux, ce qui peut entraîner une utilisation élevée du processeur dans les appliances IPS ou NGFW s’ils décryptent également le trafic. Une appliance proxy de transfert SSL aide à décharger le traitement TLS/SSL des périphériques en ligne. Par conséquent, les appareils en ligne peuvent inspecter un volume plus élevé de trafic.

  • Chargement des périphériques en ligne d’équilibrage : si vous avez configuré plusieurs périphériques en ligne pour gérer le trafic lourd, un dispositif proxy de transfert SSL peut équilibrer la charge et répartir le trafic uniformément vers ces périphériques.

  • Sélection intelligente du trafic : au lieu d’envoyer tout le trafic au périphérique en ligne pour inspection, l’appliance effectue une sélection intelligente du trafic. Par exemple, il ignore l’envoi de fichiers texte pour inspection aux périphériques en ligne.

Intégration par proxy SSL avec des périphériques en ligne

Le diagramme suivant montre comment un proxy de transfert SSL est intégré aux périphériques de sécurité en ligne.

présentation ips

Lorsque vous intégrez des périphériques en ligne à l’appliance proxy de transfert SSL, les composants interagissent comme suit :

  1. Un client envoie une requête à un dispositif proxy de transfert SSL.

  2. L’appliance envoie les données au périphérique en ligne pour inspection du contenu en fonction de l’évaluation de la stratégie. Pour le trafic HTTPS, l’appliance décrypte les données et les envoie en texte brut au périphérique en ligne pour inspection du contenu.

    Remarque

    S’il y a au moins deux périphériques en ligne, la charge de l’appliance équilibre les périphériques et envoie le trafic.

  3. Ajoutez une commutation de contenu ou un serveur virtuel d’équilibrage de charge HTTP/HTTPS.
  4. Le périphérique en ligne inspecte les données à la recherche de menaces et décide de supprimer, de réinitialiser ou de renvoyer les données à l’appliance.
  5. S’il existe des menaces de sécurité, le périphérique modifie les données et les envoie à l’appliance.
  6. Pour le trafic HTTPS, l’appliance chiffre à nouveau les données et transmet la demande au serveur principal.
  7. Le serveur principal envoie la réponse à l’appliance.
  8. L’appliance déchiffre à nouveau les données et les envoie au périphérique en ligne pour inspection.
  9. Le périphérique en ligne inspecte les données. S’il existe des menaces de sécurité, le périphérique modifie les données et les envoie à l’appliance.
  10. L’appliance recrypte les données et envoie la réponse au client.

Configuration de l’intégration de périphériques en ligne

Vous pouvez configurer une appliance proxy de transfert SSL avec un périphérique en ligne de trois manières différentes :

Scénario 1 : Utilisation d’un seul périphérique en ligne

Pour intégrer un périphérique de sécurité (IPS ou NGFW) en mode Inline, vous devez activer l’inspection du contenu et le transfert basé sur Mac (MBF) en mode global sur l’appliance proxy SSL. Ensuite, ajoutez un profil d’inspection de contenu, un service TCP, une action d’inspection de contenu pour les périphériques en ligne pour réinitialiser, bloquer ou supprimer le trafic basé sur l’inspection. Ajoutez également une stratégie d’inspection du contenu utilisée par l’appliance pour décider du sous-ensemble de trafic à envoyer aux périphériques en ligne. Enfin, configurez le serveur virtuel proxy avec la connexion de couche 2 activée sur le serveur et liez la stratégie d’inspection de contenu à ce serveur virtuel proxy.

Dispositif en ligne unique

Procédez comme suit :

  1. Activer le mode de transfert basé sur Mac (MPF).
  2. Activez la fonction d’inspection du contenu.
  3. Ajoutez un profil d’inspection de contenu pour le service. Le profil d’inspection du contenu contient les paramètres de périphérique en ligne qui intègrent le dispositif proxy SSL à un périphérique en ligne.

  4. (Facultatif) Ajoutez un moniteur TCP.

    Remarque :

    Les périphériques transparents n’ont pas d’adresse IP. Par conséquent, pour effectuer des vérifications de l’état, vous devez lier explicitement un moniteur.

  5. Ajoutez un service. Un service représente un périphérique en ligne.
  6. (Facultatif) Liez le service au moniteur TCP.
  7. Ajoutez une action d’inspection du contenu pour le service.
  8. Ajoutez une stratégie d’inspection du contenu et spécifiez l’action.
  9. Ajoutez un serveur virtuel proxy HTTP ou HTTPS (commutation de contenu).
  10. Liez la stratégie d’inspection de contenu au serveur virtuel.

Configurer à l’aide de la CLI

Tapez les commandes suivantes à l’invite de commandes. Des exemples sont donnés après la plupart des commandes.

  1. Activez MBF.

enable ns mode mbf

  1. Activez la fonctionnalité.

enable ns feature contentInspection

  1. Ajouter un profil d’inspection de contenu.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof -type InlineInspection -ingressinterface “1/2” -egressInterface “1/3”

  1. Ajoutez un service. Spécifiez une adresse IP fictive qui n’appartient à aucun des périphériques, y compris les périphériques en ligne. Définissez use source IP address (USIP) sur YES. Définissez useproxyport sur NO. Par défaut, la surveillance de l’intégrité est ACTIVÉE, lie le service à un moniteur d’intégrité et définit également l’option TRANSPARENT dans le moniteur ON.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor YES -usip YES –useproxyport NO

Exemple :

add service ips_service 198.51.100.2 TCP * -healthMonitor YES -usip YES -useproxyport NO -contentInspectionProfileName ipsprof

  1. Ajoutez un moniteur de santé. Par défaut, le moniteur de santé est activé et vous avez également la possibilité de le désactiver, si nécessaire. À l’invite de commandes, tapez :

    add lb monitor <name> TCP -destIP <ip address> -destPort 80 -transparent <YES, NO>

Exemple :

add lb monitor ips_tcp TCP -destIP 192.168.10.2 -destPort 80 -transparent YES

  1. Liez le service au moniteur de santé

Après avoir configuré le moniteur de santé, vous devez lier le service au moniteur de santé. À l’invite de commandes, tapez :

bind service <name> -monitorName <name>

Exemple :

bind service ips_svc -monitorName ips_tcp

  1. Ajoutez une action d’inspection du contenu.

add contentInspection action <name> -type INLINEINSPECTION -serverName <string>

Exemple :

add contentInspection action ips_action -type INLINEINSPECTION -serverName ips_service

  1. Ajoutez une stratégie d’inspection du contenu.

add contentInspection policy <name> -rule <expression> -action <string>

Exemple :

add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE(\"CONNECT\")" -action ips_action

  1. Ajoutez un serveur virtuel proxy.

add cs vserver <name> PROXY <IPAddress> <port> -cltTimeout <secs> -Listenpolicy <expression> -authn401 ( ON | OFF ) -authnVsName <string> -l2Conn ON

Remarque :

Les serveurs virtuels d’équilibrage de charge de type HTTP/SSL sont également pris en charge.

Exemple :

add cs vserver transparentcs PROXY * * -cltTimeout 180 -Listenpolicy exp1 -authn401 on -authnVsName swg-auth-vs-trans-http -l2Conn ON

  1. Liez la stratégie au serveur virtuel.

bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST

Exemple :

bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST

Configurer à l’aide de l’interface graphique

  1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

    Paramètres du système

    Activer le transfert basé sur Mac

  2. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

    Paramètres avancés

    Activer l'inspection du contenu

  3. Accédez à Secure Web Gateway > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

    Profil d'inspection du contenu

  4. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment. Dans Paramètres de service, définissez Utiliser l’adresse IP sourcesur YES et Utiliser le port proxysur Non. Dans Paramètres de base, définissez le contrôle de l’intégrité sur NO. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

    Lier le profil d'inspection de contenu au service

    Autres paramètres

    Paramètre de surveillance de l'intégrité

  5. Accédez à Secure Web Gateway > Servers virtuels Proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

    Ajouter une stratégie

  6. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

    Stratégie d'inspection du contenu

  7. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

    Ajouter une action

  8. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le service TCP créé précédemment.

    Action d'inspection du contenu

  9. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

    Ajouter une règle de stratégie

  10. Cliquez sur Bind.

  11. Cliquez sur Terminé.

Scénario 2 : équilibrage de la charge de plusieurs périphériques en ligne avec interfaces dédiées

Si vous utilisez au moins deux périphériques en ligne, vous pouvez équilibrer la charge des périphériques à l’aide de différents services d’inspection de contenu avec des interfaces dédiées. Dans ce cas, la charge de l’appliance proxy de transfert SSL équilibre le sous-ensemble du trafic envoyé à chaque périphérique via une interface dédiée. Le sous-ensemble est décidé en fonction des stratégies configurées. Par exemple, les fichiers TXT ou image peuvent ne pas être envoyés pour inspection aux périphériques en ligne.

Dispositifs en ligne multiples

La configuration de base reste la même que dans le scénario 1. Toutefois, vous devez créer un profil d’inspection de contenu pour chaque périphérique en ligne et spécifier l’interface d’entrée et de sortie dans chaque profil. Ajoutez un service pour chaque périphérique en ligne. Ajoutez un serveur virtuel d’équilibrage de charge et spécifiez-le dans l’action d’inspection du contenu. Effectuez les étapes supplémentaires suivantes :

  1. Ajoutez des profils d’inspection de contenu pour chaque service.
  2. Ajoutez un service pour chaque périphérique.
  3. Ajoutez un serveur virtuel d’équilibrage de charge.
  4. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

Configurer à l’aide de la CLI

Tapez les commandes suivantes à l’invite de commandes. Des exemples sont donnés après chaque commande.

  1. Activez MBF.

enable ns mode mbf

  1. Activez la fonctionnalité.

enable ns feature contentInspection

  1. Ajouter le profil 1 pour le service 1.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof1 -type InlineInspection -ingressInterface "1/2" -egressInterface "1/3"

  1. Ajouter le profil 2 pour le service 2.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof2 -type InlineInspection -ingressInterface "1/4" -egressInterface "1/5"

  1. Ajouter le service 1. Spécifiez une adresse IP fictive qui n’appartient à aucun des périphériques, y compris les périphériques en ligne. Définissez use source IP address (USIP) sur YES. Définissez useproxyport sur NO. Activez la surveillance de l’intégrité avec le moniteur TCP avec l’option TRANSPARENT activée.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO

Exemple :

add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1

  1. Ajouter le service 2. Spécifiez une adresse IP fictive qui n’appartient à aucun des périphériques, y compris les périphériques en ligne. Définissez use source IP address (USIP) sur YES. Définissez useproxyport sur NO. Activez la surveillance de l’état avec l’option TRANSPARENT activée.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO

Exemple :

add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof2

  1. Ajoutez un serveur virtuel d’équilibrage de charge.

add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>

Exemple :

add lb vserver lb_inline_vserver TCP 192.0.2.100 *

  1. Liez les services au serveur virtuel d’équilibrage de charge.

bind lb vserver <LB_VSERVER_NAME> <service_name> bind lb vserver <LB_VSERVER_NAME> <service_name>

Exemple :

bind lb vserver lb_inline_vserver ips_service1 bind lb vserver lb_inline_vserver ips_service2

  1. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

add contentInspection action <name> -type INLINEINSPECTION -serverName <string>

Exemple :

add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver

  1. Ajoutez une stratégie d’inspection du contenu. Spécifiez l’action d’inspection du contenu dans la stratégie.

add contentInspection policy <name> -rule <expression> -action <string>

Exemple :

add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE(\"CONNECT\")" -action ips_action

  1. Ajoutez un serveur virtuel proxy.

add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON

Exemple :

add cs vserver transparentcs PROXY * * -l2Conn ON

  1. Liez la stratégie d’inspection de contenu au serveur virtuel.

bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST

Exemple :

bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST

Configuration à l’aide de l’interface graphique

  1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

    Paramètres du système

    Activer le transfert basé sur Mac

  2. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

    Paramètres avancés

    Activer l'inspection du contenu

  3. Accédez à Secure Web Gateway > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

    Profil d'inspection du contenu

    Spécifiez les interfaces d’entrée et de sortie.

    Spécifier les interfaces d'entrée et de sortie

    Créez deux profils. Spécifiez une interface d’entrée et de sortie différente dans le second profil.

  4. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment. Dans Paramètres de service, définissez Utiliser l’adresse IP sourcesur YES et Utiliser le port proxysur Non. Dans Paramètres de base, définissez le contrôle de l’intégrité sur NO. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

    Lier le profil d'inspection de contenu au service

    Autres paramètres

    Paramètre de surveillance de l'intégrité

    Créez deux services. Spécifiez les adresses IP factices qui ne sont la propriété d’aucun des périphériques, y compris les périphériques en ligne.

  5. Accédez à Équilibrage de charge > Serveurs virtuels > Ajouter. Créez un serveur virtuel d’équilibrage de charge TCP.

    Serveur virtuel d'équilibrage de charge

    Cliquez sur OK.

  6. Cliquez dans la section Load Balancing Virtual Server Service Liaison. Dans Liaison de service, cliquez sur la flèche dans Sélectionner un service. Sélectionnez les deux services créés précédemment, puis cliquez sur Sélectionner. Cliquez sur Bind.

    Cliquez sur la flèche

    Sélectionner les services à lier

    Liaison des services au serveur virtuel

  7. Accédez à Secure Web Gateway > Servers virtuels Proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

    Ajouter une stratégie

  8. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

    Stratégie d'inspection du contenu

  9. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

    Ajouter une action

  10. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le serveur virtuel d’équilibrage de charge créé précédemment.

    Action d'inspection du contenu

  11. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

    Ajouter une règle de stratégie

  12. Cliquez sur Bind.

  13. Cliquez sur Terminé.

Scénario 3 : équilibrage de la charge de plusieurs périphériques en ligne avec des interfaces partagées

Si vous utilisez au moins deux périphériques en ligne, vous pouvez équilibrer la charge des périphériques à l’aide de différents services d’inspection de contenu avec des interfaces partagées. Dans ce cas, la charge de l’appliance proxy de transfert SSL équilibre le sous-ensemble du trafic envoyé à chaque périphérique via une interface partagée. Le sous-ensemble est décidé en fonction des stratégies configurées. Par exemple, les fichiers TXT ou image peuvent ne pas être envoyés pour inspection aux périphériques en ligne.

Plusieurs périphériques en ligne avec interface partagée

La configuration de base reste la même que dans le scénario 2. Pour ce scénario, liez les interfaces à différents VLAN pour séparer le trafic de chaque périphérique en ligne. Spécifiez les VLAN dans les profils d’inspection de contenu. Effectuez les étapes supplémentaires suivantes :

  1. Liez les interfaces partagées à différents VLAN.

  2. Spécifiez les VLAN d’entrée et de sortie dans les profils d’inspection de contenu.

Configuration à l’aide de l’interface de ligne de commande

Tapez les commandes suivantes à l’invite de commandes. Des exemples sont donnés après chaque commande.

  1. Activez MBF.

enable ns mode mbf

  1. Activez la fonctionnalité.

enable ns feature contentInspection

  1. Liez les interfaces partagées à différents VLAN.

    bind vlan <id> -ifnum <interface> -tagged

Exemple :

bind vlan 100 –ifnum 1/2 tagged
bind vlan 200 –ifnum 1/3 tagged
bind vlan 300 –ifnum 1/2 tagged
bind vlan 400 –ifnum 1/3 tagged
<!--NeedCopy-->
  1. Ajouter le profil 1 pour le service 1. Spécifiez les VLAN d’entrée et de sortie dans le profil.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof1 -type InlineInspection -egressInterface “1/3” -ingressinterface “1/2” –egressVlan 100 -ingressVlan 300

  1. Ajouter le profil 2 pour le service 2. Spécifiez les VLAN d’entrée et de sortie dans le profil.

add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]

Exemple :

add contentInspection profile ipsprof2 -type InlineInspection -egressInterface “1/3” -ingressinterface “1/2” –egressVlan 200 -ingressVlan 400

  1. Ajouter le service 1.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO

Exemple :

add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1

  1. Ajouter le service 2.

add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO

Exemple :

add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof2

  1. Ajoutez un serveur virtuel d’équilibrage de charge.

add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>

Exemple :

add lb vserver lb_inline_vserver TCP 192.0.2.100 *

  1. Liez les services au serveur virtuel d’équilibrage de charge.

bind lb vserver <LB_VSERVER_NAME> <service_name> bind lb vserver <LB_VSERVER_NAME> <service_name>

Exemple :

bind lb vserver lb_inline_vserver ips_service1 bind lb vserver lb_inline_vserver ips_service2

  1. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

add contentInspection action <name> -type INLINEINSPECTION -serverName <string>

Exemple :

add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver

  1. Ajoutez une stratégie d’inspection du contenu. Spécifiez l’action d’inspection du contenu dans la stratégie.

add contentInspection policy <name> -rule <expression> -action <string>

Exemple :

add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE(\"CONNECT\")" -action ips_action

  1. Ajoutez un serveur virtuel proxy.

add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON

Exemple :

add cs vserver transparentcs PROXY * * -l2Conn ON

  1. Liez la stratégie d’inspection de contenu au serveur virtuel.

bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST

Exemple :

bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST

Configuration à l’aide de l’interface graphique

  1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

    Paramètres du système

    Activer le transfert basé sur Mac

  2. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

    Paramètres avancés

    Activer l'inspection du contenu

  3. Accédez à Système > Réseau > VLAN > Ajouter. Ajoutez quatre VLAN et marquez-les sur les interfaces.

    Créer un VLAN 100

    Créer un VLAN 200

    Créer un VLAN 300

    Créer un VLAN 400

  4. Accédez à Secure Web Gateway > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

    Profil d'inspection du contenu

    Spécifiez les VLAN d’entrée et de sortie.

    Spécifier les interfaces et les VLAN pour le profil 1

    Créez d’autres profils. Spécifiez un VLAN d’entrée et de sortie différent dans le second profil.

    Spécifier les interfaces et les VLAN pour le profil 2

  5. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment. Dans Paramètres de service, définissez Utiliser l’adresse IP sourcesur YES et Utiliser le port proxysur Non. Dans Paramètres de base, définissez le contrôle de l’intégrité sur NO.

    Créez deux services. Spécifiez les adresses IP factices qui ne sont la propriété d’aucun des périphériques, y compris les périphériques en ligne. Spécifiez le profil 1 dans le service 1 et le profil 2 dans le service 2.

    Lien le profil d'inspection de contenu 1 au service 1

    Lien le profil d'inspection de contenu 2 au service 2

    Autres paramètres

    Paramètre de surveillance de l'intégrité

  6. Accédez à Équilibrage de charge > Serveurs virtuels > Ajouter. Créez un serveur virtuel d’équilibrage de charge TCP.

    Serveur virtuel d'équilibrage de charge

  7. Cliquez sur OK.

  8. Cliquez dans la section Load Balancing Virtual Server Service Liaison. Dans Liaison de service, cliquez sur la flèche dans Sélectionner un service. Sélectionnez les deux services créés précédemment, puis cliquez sur Sélectionner. Cliquez sur Bind.

    Cliquez sur la flèche

    Sélectionner les services à lier

    Liaison des services au serveur virtuel

  9. Accédez à Secure Web Gateway > Servers virtuels Proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

    Ajouter une stratégie

  10. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

    Stratégie d'inspection du contenu

  11. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

    Ajouter une action

  12. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le serveur virtuel d’équilibrage de charge créé précédemment.

    Action d'inspection du contenu

  13. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

    Ajouter une règle de stratégie

  14. Cliquez sur Bind.
  15. Cliquez sur Terminé.
Intégration avec IPS ou NGFW en tant que périphériques en ligne à l’aide du proxy de transfert SSL
October 4, 2021
Contributeur: 
C
October 4, 2021
Contributeur: 
C

Dans cet article

Commentaires sur le site | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.