FAQ
Q. Quelles sont les plateformes matérielles prises en charge par Citrix Secure Web Gateway™ (SWG) ?
R. Citrix® SWG est disponible sur les plateformes matérielles suivantes :
- Citrix SWG MPX 14020/14030/14040
- Citrix SWG MPX 14020-40G/14040-40G
- Citrix SWG MPX 14060-40S/14080-40S/14100-40S
- Citrix SWG MPX 5901/5905/5910
- Citrix SWG MPX/SDX 8905/8910/8920/8930
- Toutes les plateformes SDX basées sur Cavium N2 et N3
Q. Quels sont les deux modes de capture que je peux définir lors de la création d’un proxy sur l’appliance SWG ?
R. La solution SWG prend en charge les modes proxy explicite et transparent. En mode proxy explicite, les clients doivent spécifier une adresse IP et un port dans leurs navigateurs, à moins que l’organisation ne pousse le paramètre sur l’appareil du client. Cette adresse est l’adresse IP d’un serveur proxy configuré sur l’appliance SWG. Le proxy transparent, comme son nom l’indique, est transparent pour le client. L’appliance SWG est configurée dans un déploiement en ligne, et l’appliance accepte de manière transparente tout le trafic HTTP et HTTPS.
Q. Citrix SWG dispose-t-il d’un assistant de configuration ?
R. Oui. L’assistant se trouve sur le nœud SWG dans l’utilitaire de configuration.
Q. Quelles fonctionnalités de Citrix ADC sont utilisées lors de la configuration de Citrix SWG ?
R. Répondeur, AAA-TM, commutation de contenu, SSL, proxy de transfert, interception SSL et filtrage d’URL.
Q. Quelles méthodes d’authentification sont prises en charge sur Citrix SWG ?
R. En mode proxy explicite, les méthodes d’authentification LDAP, RADIUS, TACACS+ et NEGOTIATE sont prises en charge. En mode transparent, seule l’authentification LDAP est prise en charge.
Q. Est-il nécessaire d’installer le certificat CA sur l’appareil client ?
R. Oui. L’appliance Citrix SWG émule le certificat du serveur d’origine. Ce certificat de serveur doit être signé par un certificat CA approuvé, qui doit être installé sur les appareils des clients afin que le client puisse faire confiance au certificat de serveur régénéré.
Q. Puis-je utiliser une licence de plateforme Citrix ADC sur la plateforme Citrix SWG ?
R. Non. La plateforme Citrix SWG nécessite sa propre licence de plateforme.
Q. La haute disponibilité (HA) est-elle prise en charge pour un déploiement Citrix Secure Web™ Gateway ?
R. Oui.
Q. Quel fichier contient les journaux de Citrix SWG ?
R. Le fichier ns.log enregistre les informations de Citrix SWG. Vous devez activer la journalisation à l’aide de l’interface de ligne de commande (CLI) ou de l’interface graphique (GUI). À l’invite de commandes, tapez : set syslogparams -ssli Enabled.
Dans l’interface graphique, accédez à Système > Audit. Dans Paramètres, cliquez sur Modifier les paramètres Syslog d’audit. Sélectionnez Interception SSL.
Q. Quelles commandes nsconmsg puis-je utiliser pour résoudre les problèmes ?
R. Vous pouvez utiliser une ou les deux commandes suivantes :
nsconmsg -d current -g ssli
<!--NeedCopy-->
nsconmsg -d current -g err
<!--NeedCopy-->
Q. Si le bundle de certificats est intégré, comment puis-je obtenir des mises à jour ?
R. Le dernier bundle est inclus dans la build. Pour les mises à jour, contactez le support Citrix.
Q. Les données peuvent-elles être capturées sur Citrix ADM à partir de Citrix SWG ?
R. Oui. Vous devez activer Analytics dans l’assistant Secure Web Gateway.
Important : Assurez-vous d’utiliser la même build 12.0 pour MAS et SWG.
Q. Qu’est-ce que le service de filtrage d’URL ?
R. Le filtrage d’URL est un filtre de contenu Web qui contrôle l’accès à une liste de sites Web et de pages Web restreints. Le filtre restreint l’accès des utilisateurs à du contenu inapproprié sur Internet en fonction de la catégorie d’URL, des groupes de catégories et du score de réputation. Un administrateur réseau peut surveiller le trafic Web et bloquer l’accès des utilisateurs aux sites Web à haut risque. Vous pouvez implémenter cette fonctionnalité en utilisant la catégorisation d’URL ou la fonctionnalité de liste d’URL basée sur l’application de politiques. Pour plus d’informations, consultez la rubrique Filtrage d’URL.
Q. Comment le filtrage d’URL s’intègre-t-il à Citrix SWG ?
R. Le filtrage d’URL s’appuie sur l’appliance Citrix SWG pour contrôler l’accès à des sites Web spécifiques. L’appliance SWG, située en périphérie du réseau, agit comme un proxy pour intercepter le trafic Web et effectuer des actions telles que l’authentification, l’inspection, la mise en cache et la redirection. Le filtre contrôle ensuite l’accès aux sites Web à l’aide de la catégorisation d’URL ou de la fonctionnalité de liste d’URL avec application de politiques.
Q. À quelle fréquence la base de données de catégorisation d’URL est-elle mise à jour ?
R. Si vous utilisez la fonctionnalité de catégorisation d’URL pour contrôler l’accès aux sites Web restreints, vous devez mettre à jour périodiquement la base de données de catégorisation avec les dernières données du service fournisseur basé sur le cloud. Pour mettre à jour la base de données, l’interface graphique de Citrix SWG vous permet de configurer les paramètres de filtrage d’URL tels que « Heures entre les mises à jour de la base de données » ou « Heure de la journée pour la mise à jour de la base de données ».
Q. Quels cas d’utilisation sont les mieux adaptés au service de filtrage d’URL aujourd’hui ?
R. Voici quelques-uns des cas d’utilisation ciblés pour les clients d’entreprise :
- Filtrage d’URL par score de réputation d’URL
- Contrôle de l’utilisation d’Internet dans le cadre de la conformité d’entreprise
- Filtrage d’URL à l’aide d’une liste d’URL personnalisée
Q. Existe-t-il une limite de mémoire pour la mise en cache dans le service de catégorisation d’URL ?
R. Oui. La limite de mémoire pour la mise en cache est fixée à 10 Go et vous ne pouvez la configurer que via l’interface CLI.
Q. Que renvoie la base de données de catégorisation d’URL si aucune catégorie ne correspond à la requête entrante ?
R. Si la requête entrante ne correspond pas à une catégorie ou si l’URL est mal formée, l’appliance marque l’URL comme « Non catégorisée » et envoie la requête au service basé sur le cloud maintenu par le fournisseur de catégorisation. L’appliance continue de surveiller les retours de la requête cloud et met à jour le cache afin que les futures requêtes puissent bénéficier de la recherche cloud.
Q. Qu’est-ce qu’un score de réputation d’URL et comment contrôlez-vous l’accès aux sites Web malveillants en fonction du score de réputation ?
R. Un score de réputation d’URL est une évaluation que Citrix SWG attribue à un site Web. La valeur peut varier de 1 à 4, où 4 est un site Web malveillant et 1 est un site Web propre. Si un administrateur réseau surveille un utilisateur accédant à des sites Web à haut risque, l’accès à ces sites est contrôlé en fonction du score de réputation d’URL et du niveau de sécurité que vous avez configuré sur l’appliance Citrix SWG. Pour plus d’informations, consultez Score de réputation d’URL.
Q. Si vous filtrez des sites Web à l’aide d’un ensemble d’URL mais que vous filtrez incorrectement un site Web spécifique, quel est le processus pour activer les sites Web exceptionnels ?
R. Le filtrage d’URL utilise une politique de répondeur pour contrôler l’accès aux sites Web. Pour ajouter une URL spécifique à la liste blanche en tant qu’exception, dans l’assistant SWG, créez une politique de patset et ajoutez l’URL exceptionnelle avec l’action « autoriser ». Une fois la politique créée, quittez l’assistant et suivez les étapes suivantes :
Pour modifier la priorité d’une expression de politique à l’aide de l’interface graphique de Citrix SWG :
- Connectez-vous à l’appliance Citrix SWG et accédez à Secure Web Gateway > Serveurs virtuels proxy.
- Dans la page des détails, sélectionnez un serveur et cliquez sur Modifier.
- Dans la page Serveurs virtuels proxy, accédez à la section Politiques et cliquez sur l’icône en forme de crayon pour modifier les détails.
- Sélectionnez la politique de patset et, dans la page Liaison de politique, spécifiez une valeur de priorité inférieure à celle des autres politiques liées.
- Cliquez sur Lier et Terminé.
Q. Quels sont les principaux avantages de l’utilisation de la fonctionnalité de filtrage d’URL de Citrix SWG ?
R. La fonctionnalité de filtrage d’URL est facile à déployer, à configurer et à utiliser. Elle offre les avantages suivants et permet aux clients d’entreprise de :
- Surveiller le trafic Web et les transactions des utilisateurs
- Filtrer les logiciels malveillants et les menaces de sécurité provenant d’Internet.
- Contrôler l’accès non autorisé aux sites Web malveillants.
- Appliquer les politiques de sécurité d’entreprise pour contrôler l’accès aux données restreintes.
Q. Si vous utilisez une fonctionnalité de liste d’URL pour filtrer des sites Web, comment modifier une politique de liste d’URL ?
R. Vous pouvez modifier une politique de liste d’URL via l’assistant Citrix SWG en écrasant ou en supprimant la liste importée liée à la politique de répondeur.
Q. Que contient la métadonnée associée à une URL ?
R. Chaque URL de la base de données de catégorisation possède une métadonnée qui lui est associée. La métadonnée contient une catégorie d’URL, un groupe de catégories et des informations sur le score de réputation. Par exemple, si l’URL est un portail d’achat, la métadonnée sera respectivement Shopping, Shopping/Retail et 1.
Utilisez les expressions suivantes pour obtenir ces valeurs pour l’URL entrante. Les expressions sont données ci-dessous :
URL_CATEGORIZE(0,0).CATEGORY
<!--NeedCopy-->
URL_CATEGORIZE(0,0).GROUP
<!--NeedCopy-->
URL_CATEGORIZE(0,0).REPUTATION
<!--NeedCopy-->
Q. Quel type de licence et d’abonnement sont nécessaires pour la fonctionnalité de catégorisation d’URL ?
R. La fonctionnalité de catégorisation d’URL nécessite un service d’abonnement URL Threat Intelligence (disponible pour un ou trois ans) avec l’édition Citrix SWG.
Q. Quelles sont les méthodes de configuration du filtrage d’URL ?
R. Il existe deux façons de configurer le filtrage d’URL. Vous pouvez le faire via l’interface de commande de Citrix SWG ou via l’assistant Citrix SWG. Citrix vous recommande d’utiliser l’assistant pour configurer les politiques de filtrage.
Q. Quels sont les types de catégories d’URL que vous pouvez bloquer ?
R. La base de données de catégorisation d’URL contient des millions d’URL avec des métadonnées. L’administrateur peut configurer une politique de répondeur pour décider quelles catégories d’URL peuvent être bloquées et quelles catégories d’URL peuvent être autorisées pour l’accès des utilisateurs. Pour plus d’informations sur le mappage des catégories d’URL, consultez la page Mappage des catégories.
Q. Que devons-nous faire si nous ne pouvons pas accéder aux serveurs d’origine qui utilisent WebSocket, tels que whatsapp ?
Vous devez activer WebSocket dans le profil HTTP par défaut.
Dans l’interface de ligne de commande, tapez :
> set httpprofile nshttp_default_profile -webSocket ENABLED
<!--NeedCopy-->
Qu’est-ce qu’ICAP ?
ICAP signifie Internet Content Adaption Protocol.
Quelle version de Citrix SWG prend en charge ICAP ?
ICAP est pris en charge dans la version 12.0 build 57.x et ultérieure de Citrix SWG.
Quels sont les deux modes ICAP pris en charge sur Citrix SWG ?
Les modes de modification de requête (REQMOD) et de modification de réponse (RESPMOD) sont pris en charge.
Quel est le port par défaut pour ICAP ?
1344.