Intégration avec IPS ou NGFW en tant que périphériques en ligne

Les dispositifs de sécurité tels que le système de prévention des intrusions (IPS) et le pare-feu de nouvelle génération (NGFW) protègent les serveurs contre les attaques réseau. Ces périphériques peuvent inspecter le trafic en direct et sont généralement déployés en mode Inline de couche 2. Citrix Secure Web Gateway (SWG) assure la sécurité des utilisateurs et du réseau d’entreprise lors de l’accès aux ressources sur Internet.

Une appliance Citrix SWG peut être intégrée à un ou plusieurs périphériques en ligne pour prévenir les menaces et fournir une protection de sécurité avancée. Les périphériques en ligne peuvent être n’importe quel périphérique de sécurité, tel que IPS et NGFW.

Voici quelques cas d’utilisation où vous pouvez bénéficier de l’utilisation de l’appliance Citrix SWG et de l’intégration de périphériques en ligne :

• Inspection du trafic chiffré : la plupart des appliances IPS et NGFW contournent le trafic chiffré, ce qui peut rendre les serveurs vulnérables aux attaques. Une appliance Citrix SWG peut déchiffrer le trafic et l’envoyer aux périphériques en ligne pour inspection. Cette intégration améliore la sécurité réseau du client.

• Déchargement des périphériques en ligne du traitement TLS/SSL : le traitement TLS/SSL est coûteux, ce qui peut entraîner une utilisation élevée du processeur dans les appliances IPS ou NGFW s’ils décryptent également le trafic. Une appliance Citrix SWG aide à décharger le traitement TLS/SSL des périphériques en ligne. Par conséquent, les appareils en ligne peuvent inspecter un volume plus élevé de trafic.

• Chargement des périphériques en ligne d’équilibrage : si vous avez configuré plusieurs périphériques en ligne pour gérer le trafic lourd, une appliance Citrix SWG peut équilibrer la charge et répartir le trafic uniformément vers ces périphériques.

• Sélection intelligente du trafic : au lieu d’envoyer tout le trafic au périphérique en ligne pour inspection, l’appliance effectue une sélection intelligente du trafic. Par exemple, il ignore l’envoi de fichiers texte pour inspection aux périphériques en ligne.

Intégration de Citrix SWG avec les périphériques en ligne

Le diagramme suivant montre comment un Citrix SWG est intégré aux périphériques de sécurité en ligne.

Lorsque vous intégrez des périphériques en ligne avec l’appliance Citrix SWG, les composants interagissent comme suit :

1. Un client envoie une demande à une appliance Citrix SWG.

2. L’appliance envoie les données au périphérique en ligne pour inspection du contenu en fonction de l’évaluation de la stratégie. Pour le trafic HTTPS, l’appliance décrypte les données et les envoie en texte brut au périphérique en ligne pour inspection du contenu.

   Remarque :

   S’il y a au moins deux périphériques en ligne, la charge de l’appliance équilibre les périphériques et envoie le trafic.

3. Le périphérique en ligne inspecte les données à la recherche de menaces et décide de supprimer, de réinitialiser ou de renvoyer les données à l’appliance.

4. S’il existe des menaces de sécurité, le périphérique modifie les données et les envoie à l’appliance.

5. Pour le trafic HTTPS, l’appliance recrypte les données et transmet la demande au serveur principal.

6. Le serveur principal envoie la réponse à l’appliance.

7. L’appliance déchiffre à nouveau les données et les envoie au périphérique en ligne pour inspection.

8. Le périphérique en ligne inspecte les données. S’il existe des menaces de sécurité, le périphérique modifie les données et les envoie à l’appliance.

9. L’appliance recrypte les données et envoie la réponse au client.

Configuration de l’intégration de périphériques en ligne

Vous pouvez configurer une appliance Citrix SWG avec un périphérique en ligne de trois manières différentes, comme suit :

Scénario 1 : Utilisation d’un seul périphérique en ligne

Pour intégrer un périphérique de sécurité (IPS ou NGFW) en mode intégré, vous devez activer l’inspection de contenu et le transfert basé sur Mac (MBF) en mode global sur l’appliance SWG. Ensuite, ajoutez un profil d’inspection de contenu, un service TCP, une action d’inspection de contenu pour les périphériques en ligne pour réinitialiser, bloquer ou supprimer le trafic basé sur l’inspection. Ajoutez également une stratégie d’inspection du contenu utilisée par l’appliance pour décider du sous-ensemble de trafic à envoyer aux périphériques en ligne. Enfin, configurez le serveur virtuel proxy avec la connexion de couche 2 activée sur le serveur et liez la stratégie d’inspection de contenu à ce serveur virtuel proxy.

Procédez comme suit :

1. Activer le mode de transfert basé sur Mac (MPF).

2. Activez la fonction d’inspection du contenu.

3. Ajoutez un profil d’inspection de contenu pour le service. Le profil d’inspection de contenu contient les paramètres de périphérique en ligne qui intègrent l’appliance SWG à un périphérique en ligne.

4. (Facultatif) Ajoutez un moniteur TCP.

   Remarque :

   Les périphériques transparents n’ont pas d’adresse IP. Par conséquent, pour effectuer des vérifications de l’état, vous devez lier explicitement un moniteur.

5. Ajoutez un service. Un service représente un périphérique en ligne.

6. (Facultatif) Liez le service au moniteur TCP.

7. Ajoutez une action d’inspection du contenu pour le service.

8. Ajoutez une stratégie d’inspection du contenu et spécifiez l’action.

9. Ajoutez un serveur virtuel proxy HTTP ou HTTPS (commutation de contenu).

10. Liez la stratégie d’inspection de contenu au serveur virtuel.

Configuration à l’aide de l’interface de ligne de commande

Tapez les commandes suivantes à l’invite de commandes. Des exemples sont donnés après la plupart des commandes.

1. Activez MBF.

   enable ns mode mbf
   <!--NeedCopy-->
   

2. Activez la fonctionnalité.

   enable ns feature contentInspection
   <!--NeedCopy-->
   

3. Ajouter un profil d’inspection de contenu.

   add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
   <!--NeedCopy-->
   

   Exemple :

   add contentInspection profile ipsprof -type InlineInspection -ingressinterface "1/2" -egressInterface "1/3"
   <!--NeedCopy-->
   

4. Ajoutez un service. Spécifiez une adresse IP fictive qui n’appartient à aucun des périphériques, y compris les périphériques en ligne. Définissez use source IP address (USIP) sur YES. Définissez useproxyport sur NO. Éteignez le moniteur d’intégrité. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

   add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
   <!--NeedCopy-->
   

   Exemple :

   add service ips_service 198.51.100.2 TCP * -healthMonitor YES -usip YES -useproxyport NO -contentInspectionProfileName ipsprof
   
   <!--NeedCopy-->
   

5. Ajoutez une action d’inspection du contenu.

   add contentInspection action <name> -type INLINEINSPECTION -serverName <string>
   <!--NeedCopy-->
   

   Exemple :

   add contentInspection action ips_action -type INLINEINSPECTION -serverName ips_service
   <!--NeedCopy-->
   

6. Ajoutez une stratégie d’inspection du contenu.

   add contentInspection policy <name> -rule <expression> -action <string>
   <!--NeedCopy-->
   

   Exemple :

   add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE("CONNECT")" -action ips_action
   <!--NeedCopy-->
   

7. Ajoutez un serveur virtuel proxy.

   add cs vserver <name> PROXY <IPAddress> <port> -cltTimeout <secs> -Listenpolicy <expression> -authn401 ( ON | OFF ) -authnVsName <string> -l2Conn ON
   <!--NeedCopy-->
   

   Exemple :

   add cs vserver transparentcs PROXY * * -cltTimeout 180 -Listenpolicy exp1 -authn401 on -authnVsName swg-auth-vs-trans-http -l2Conn ON
   <!--NeedCopy-->
   

8. Liez la stratégie au serveur virtuel.

   bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST
   <!--NeedCopy-->
   

   Exemple :

   bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST
   <!--NeedCopy-->
   

Configuration à l’aide de l’interface graphique

1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

   

   

2. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

   

   

3. Accédez à Secure Web Gateway > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

   

4. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment. Dans Paramètres de service, définissez Utiliser l’adresse IP sourcesur YES et Utiliser le port proxysur Non. Dans Paramètres de base, définissez le contrôle de l’intégrité sur NO. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT dans le moniteur sur ON.

   

   

   

5. Accédez à Secure Web Gateway > Servers virtuels Proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

   

6. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

   

7. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

   

8. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le service TCP créé précédemment.

   

9. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

   

10. Cliquez sur Bind.

11. Cliquez sur Terminé.

Scénario 2 : équilibrage de la charge de plusieurs périphériques en ligne avec interfaces dédiées

Si vous utilisez au moins deux périphériques en ligne, vous pouvez équilibrer la charge des périphériques à l’aide de différents services d’inspection de contenu avec des interfaces dédiées. Dans ce cas, la charge de l’appliance Citrix SWG équilibre le sous-ensemble du trafic envoyé à chaque périphérique via une interface dédiée. Le sous-ensemble est décidé en fonction des stratégies configurées. Par exemple, les fichiers TXT ou image peuvent ne pas être envoyés pour inspection aux périphériques en ligne.

La configuration de base reste la même que dans le scénario 1. Toutefois, vous devez créer un profil d’inspection de contenu pour chaque périphérique en ligne et spécifier l’interface d’entrée et de sortie dans chaque profil. Ajoutez un service pour chaque périphérique en ligne. Ajoutez un serveur virtuel d’équilibrage de charge et spécifiez-le dans l’action d’inspection du contenu. Effectuez les étapes supplémentaires suivantes :

1. Ajoutez des profils d’inspection de contenu pour chaque service.

2. Ajoutez un service pour chaque périphérique.

3. Ajoutez un serveur virtuel d’équilibrage de charge.

4. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

Configuration à l’aide de l’interface de ligne de commande

Tapez les commandes suivantes à l’invite de commandes. Des exemples sont donnés après chaque commande.

1. Activez MBF.

   enable ns mode mbf
   <!--NeedCopy-->
   

2. Activez la fonctionnalité.

   enable ns feature contentInspection
   <!--NeedCopy-->
   

3. Ajouter le profil 1 pour le service 1.

   add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
   <!--NeedCopy-->
   

   Exemple :

   add contentInspection profile ipsprof1 -type InlineInspection -ingressInterface "1/2" -egressInterface "1/3"
   <!--NeedCopy-->
   

4. Ajouter le profil 2 pour le service 2.

   add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
   <!--NeedCopy-->
   

   Exemple :

   add contentInspection profile ipsprof2 -type InlineInspection -ingressInterface "1/4" -egressInterface "1/5"
   <!--NeedCopy-->
   

5. Ajouter le service 1. Spécifiez une adresse IP fictive qui n’appartient à aucun des périphériques, y compris les périphériques en ligne. Définissez use source IP address (USIP) sur YES. Définissez useproxyport sur NO. Éteignez le moniteur d’intégrité. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

   add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
   <!--NeedCopy-->
   

   Exemple :

   add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1
   <!--NeedCopy-->
   

6. Ajouter le service 2. Spécifiez une adresse IP fictive qui n’appartient à aucun des périphériques, y compris les périphériques en ligne. Définissez use source IP address (USIP) sur YES. Définissez useproxyport sur NO. Éteignez le moniteur d’intégrité. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

   add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
   <!--NeedCopy-->
   

   Exemple :

   add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO  -contentInspectionProfileName ipsprof2
   <!--NeedCopy-->
   

7. Ajoutez un serveur virtuel d’équilibrage de charge.

   add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>
   <!--NeedCopy-->
   

   Exemple :

   add lb vserver lb_inline_vserver TCP 192.0.2.100 *
   <!--NeedCopy-->
   

8. Liez les services au serveur virtuel d’équilibrage de charge.

   bind lb vserver <LB_VSERVER_NAME> <service_name>
   bind lb vserver <LB_VSERVER_NAME> <service_name>
   <!--NeedCopy-->
   

   Exemple :

   bind lb vserver lb_inline_vserver ips_service1
   bind lb vserver lb_inline_vserver ips_service2
   <!--NeedCopy-->
   

9. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

   add contentInspection action <name> -type INLINEINSPECTION -serverName <string>
   <!--NeedCopy-->
   

   Exemple :

   add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver
   <!--NeedCopy-->
   

10. Ajoutez une stratégie d’inspection du contenu. Spécifiez l’action d’inspection du contenu dans la stratégie.

    add contentInspection policy <name> -rule <expression> -action <string>
    <!--NeedCopy-->
    

    Exemple :

    add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE("CONNECT")" -action ips_action
    <!--NeedCopy-->
    

11. Ajoutez un serveur virtuel proxy.

    add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON
    <!--NeedCopy-->
    

    Exemple :

    add cs vserver transparentcs PROXY * * -l2Conn ON
    <!--NeedCopy-->
    

12. Liez la stratégie d’inspection de contenu au serveur virtuel.

    bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST
    <!--NeedCopy-->
    

    Exemple :

    bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST
    <!--NeedCopy-->
    

Configuration à l’aide de l’interface graphique

1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

   

   

2. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

   

   

3. Accédez à Secure Web Gateway > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

   

   Spécifiez les interfaces d’entrée et de sortie.

   

   Créez deux profils. Spécifiez une interface d’entrée et de sortie différente dans le second profil.

4. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment. Dans Paramètres de service, définissez Utiliser l’adresse IP sourcesur YES et Utiliser le port proxysur Non. Dans Paramètres de base, définissez le contrôle de l’intégrité sur NO. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT dans le moniteur sur ON.

   

   

   

   Créez deux services. Spécifiez les adresses IP factices qui ne sont la propriété d’aucun des périphériques, y compris les périphériques en ligne.

5. Accédez à Équilibrage de charge > Serveurs virtuels > Ajouter. Créez un serveur virtuel d’équilibrage de charge TCP.

   

   Cliquez sur OK.

6. Cliquez dans la section Load Balancing Virtual Server Service Liaison. Dans Liaison de service, cliquez sur la flèche dans Sélectionner un service. Sélectionnez les deux services créés précédemment, puis cliquez sur Sélectionner. Cliquez sur Bind.

   

   

   

7. Accédez à Secure Web Gateway > Servers virtuels Proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

   

8. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

   

9. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

   

10. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le serveur virtuel d’équilibrage de charge créé précédemment.

    

11. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

    

12. Cliquez sur Bind.

13. Cliquez sur Terminé.

Scénario 3 : équilibrage de la charge de plusieurs périphériques en ligne avec des interfaces partagées

Si vous utilisez au moins deux périphériques en ligne, vous pouvez équilibrer la charge des périphériques à l’aide de différents services d’inspection de contenu avec des interfaces partagées. Dans ce cas, la charge de l’appliance Citrix SWG équilibre le sous-ensemble du trafic envoyé à chaque périphérique via une interface partagée. Le sous-ensemble est décidé en fonction des stratégies configurées. Par exemple, les fichiers TXT ou image peuvent ne pas être envoyés pour inspection aux périphériques en ligne.

La configuration de base reste la même que dans le scénario 2. Pour ce scénario, liez les interfaces à différents VLAN pour séparer le trafic de chaque périphérique en ligne. Spécifiez les VLAN dans les profils d’inspection de contenu. Effectuez les étapes supplémentaires suivantes :

1. Liez les interfaces partagées à différents VLAN.

2. Spécifiez les VLAN d’entrée et de sortie dans les profils d’inspection de contenu.

Configuration à l’aide de l’interface de ligne de commande

Tapez les commandes suivantes à l’invite de commandes. Des exemples sont donnés après chaque commande.

1. Activez MBF.

   enable ns mode mbf
   <!--NeedCopy-->
   

2. Activez la fonctionnalité.

   enable ns feature contentInspection
   <!--NeedCopy-->
   

3. Liez les interfaces partagées à différents VLAN.

   bind vlan <id> -ifnum <interface> -tagged
   <!--NeedCopy-->
   

   Exemple :

   bind vlan 100 –ifnum 1/2 tagged
   bind vlan 200 –ifnum 1/3 tagged
   bind vlan 300 –ifnum 1/2 tagged
   bind vlan 400 –ifnum 1/3 tagged
   <!--NeedCopy-->
   

4. Ajouter le profil 1 pour le service 1. Spécifiez les VLAN d’entrée et de sortie dans le profil.

   add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
   <!--NeedCopy-->
   

   Exemple :

   add contentInspection profile ipsprof1 -type InlineInspection -egressInterface "1/3" -ingressinterface "1/2" –egressVlan 100 -ingressVlan 300
   <!--NeedCopy-->
   

5. Ajouter le profil 2 pour le service 2. Spécifiez les VLAN d’entrée et de sortie dans le profil.

   add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
   <!--NeedCopy-->
   

   Exemple :

   add contentInspection profile ipsprof2 -type InlineInspection -egressInterface "1/3" -ingressinterface "1/2" –egressVlan 200 -ingressVlan 400
   <!--NeedCopy-->
   

6. Ajouter le service 1.

   add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
   <!--NeedCopy-->
   

   Exemple :

   add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1
   <!--NeedCopy-->
   

7. Ajouter le service 2.

   add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
   <!--NeedCopy-->
   

   Exemple :

   add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof2
   <!--NeedCopy-->
   

8. Ajoutez un serveur virtuel d’équilibrage de charge.

   add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>
   <!--NeedCopy-->
   

   Exemple :

   add lb vserver lb_inline_vserver TCP 192.0.2.100 *
   <!--NeedCopy-->
   

9. Liez les services au serveur virtuel d’équilibrage de charge.

   bind lb vserver <LB_VSERVER_NAME> <service_name>
   bind lb vserver <LB_VSERVER_NAME> <service_name>
   <!--NeedCopy-->
   

   Exemple :

   bind lb vserver lb_inline_vserver ips_service1
   bind lb vserver lb_inline_vserver ips_service2
   <!--NeedCopy-->
   

10. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

    add contentInspection action <name> -type INLINEINSPECTION -serverName <string>
    <!--NeedCopy-->
    

    Exemple :

    add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver
    <!--NeedCopy-->
    

11. Ajoutez une stratégie d’inspection du contenu. Spécifiez l’action d’inspection du contenu dans la stratégie.

    add contentInspection policy <name> -rule <expression> -action <string>
    <!--NeedCopy-->
    

    Exemple :

    add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE("CONNECT")" -action ips_action
    <!--NeedCopy-->
    

12. Ajoutez un serveur virtuel proxy.

    add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON
    <!--NeedCopy-->
    

    Exemple :

    add cs vserver transparentcs PROXY * * -l2Conn ON
    <!--NeedCopy-->
    

13. Liez la stratégie d’inspection de contenu au serveur virtuel.

    bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST
    <!--NeedCopy-->
    

    Exemple :

    bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST
    <!--NeedCopy-->
    

Configuration à l’aide de l’interface graphique

1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

   

   

2. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

   

   

3. Accédez à Système > Réseau > VLAN > Ajouter. Ajoutez quatre VLAN et marquez-les sur les interfaces.

   

   

   

   

4. Accédez à Secure Web Gateway > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

   

   Spécifiez les VLAN d’entrée et de sortie.

   

   Créez d’autres profils. Spécifiez un VLAN d’entrée et de sortie différent dans le second profil.

   

5. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment. Dans Paramètres de service, définissez Utiliser l’adresse IP sourcesur YES et Utiliser le port proxysur Non. Dans Paramètres de base, définissez le contrôle de l’intégrité sur NO.

   Créez deux services. Spécifiez les adresses IP factices qui ne sont la propriété d’aucun des périphériques, y compris les périphériques en ligne. Spécifiez le profil 1 dans le service 1 et le profil 2 dans le service 2.

   

   

   

   

6. Accédez à Équilibrage de charge > Serveurs virtuels > Ajouter. Créez un serveur virtuel d’équilibrage de charge TCP.

   

   Cliquez sur OK.

7. Cliquez dans la section Load Balancing Virtual Server Service Liaison. Dans Liaison de service, cliquez sur la flèche dans Sélectionner un service. Sélectionnez les deux services créés précédemment, puis cliquez sur Sélectionner. Cliquez sur Bind.

   

   

   

8. Accédez à Secure Web Gateway > Servers virtuels Proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

   

9. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

   

10. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

    

11. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le serveur virtuel d’équilibrage de charge créé précédemment.

    

12. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

    

13. Cliquez sur Bind.

14. Cliquez sur Terminé.