製品ドキュメント
ADC
14.1 - Current Release 13.1 13.0 12.1
PDFを表示

ユースケース：リモートマルウェア検査にICAPを使用してエンタープライズネットワークを安全にする

October 7, 2021
寄稿者: 
C

Citrix ADCアプライアンスはプロキシとして機能し、すべてのクライアントトラフィックを代行受信します。アプライアンスは、ポリシーを使用してトラフィックを評価し、リソースが存在するオリジンサーバーにクライアント要求を転送します。アプライアンスはオリジンサーバーからの応答を復号化し、プレーンテキストのコンテンツをICAPサーバーに転送してマルウェア対策チェックを行います。ICAPサーバーは、「適応不要」、エラー、または変更要求を示すメッセージで応答します。ICAP サーバーからの応答に応じて、要求されたコンテンツがクライアントに転送されるか、適切なメッセージが送信されます。

このユースケースでは、Citrix ADCアプライアンスで一般的な構成、プロキシとSSLインターセプションに関連する構成、およびICAP構成を実行する必要があります。

一般的な構成

次のエンティティを構成します。

  • NSIPアドレス
  • サブネットIP（SNIP）アドレス
  • DNS ネームサーバー
  • SSLインターセプションのためにサーバ証明書に署名するための CA 証明書とキーのペア

プロキシサーバと SSL インターセプションの設定

次のエンティティを構成します。

  • エクスプリシットモードのプロキシサーバで、すべてのアウトバウンド HTTP および HTTPS トラフィックを代行受信します。
  • SSL プロファイルを使用して、接続の SSL 設定（暗号やパラメータなど）を定義します。
  • SSL ポリシーを使用して、トラフィックを代行受信するためのルールを定義します。すべてのクライアント要求をインターセプトするには、true に設定します。

詳細については、次のトピックを参照してください。

次の構成例では、マルウェア対策検出サービスがwww.example.comにあります。

一般的な設定例：

add dns nameServer 203.0.113.2

add ssl certKey ns-swg-ca-certkey -cert ns_swg_ca.crt -key ns_swg_ca.key
<!--NeedCopy-->

プロキシサーバーと SSL インターセプション設定の例:

add cs vserver explicitswg PROXY 192.0.2.100 80 –Authn401 ENABLED –authnVsName explicit-auth-vs

set ssl parameter -defaultProfile ENABLED

add ssl profile swg_profile -sslInterception ENABLED

bind ssl profile swg_profile -ssliCACertkey ns-swg-ca-certkey

set ssl vserver explicitswg -sslProfile swg_profile

add ssl policy ssli-pol_ssli -rule true -action INTERCEPT

bind ssl vserver explicitswg -policyName ssli-pol_ssli -priority 100 -type INTERCEPT_REQ
<!--NeedCopy-->

ICAP 設定の例:

add service icap_svc 203.0.113.225 TCP 1344

enable ns feature contentinspection

add icapprofile icapprofile1 -uri /example.com -Mode RESMOD

add contentInspection action CiRemoteAction -type ICAP -serverName  icap_svc -icapProfileName icapprofile1

add contentInspection policy CiPolicy -rule "HTTP.REQ.METHOD.NE("CONNECT")" -action CiRemoteAction

bind cs vserver explicitswg -policyName  CiPolicy -priority 200 -type response
<!--NeedCopy-->

プロキシ設定を構成する

  1. [セキュリティ] > [SSL 転送プロキシ] > [SSL 転送プロキシウィザード] に移動します。

  2. [は じめに] をクリックし、[続行] をクリックします。

  3. [プロキシ設定] ダイアログボックスで、明示的なプロキシサーバーの名前を入力します。

  4. [ キャプチャモード]で、[ 明示的]を選択します。

  5. IP アドレスとポート番号を入力します。

    明示的なプロキシ

  6. ［続行］ をクリックします。

SSLインターセプション設定の構成

  1. 「 SSLインターセプションを有効にする」を選択します。

    SSLインターセプション

  2. [SSL プロファイル] で、既存のプロファイルを選択するか、[+] をクリックして新しいフロントエンド SSL プロファイルを追加します。このプロファイルで SSLセッションインターセプト を有効にします。既存のプロファイルを選択する場合は、次の手順をスキップします。

    SSL プロファイル

  3. [OK] をクリックし、[完了] をクリックします。

  4. 「 SSLインターセプションCA 証明書とキーペアの選択」で、既存の証明書を選択するか、「+」をクリックして SSLインターセプション用の CA 証明書とキーペアをインストールします。既存の証明書を選択した場合は、次の手順をスキップします。

    SSLインターセプト証明書とキーのペア

  5. [インストール] をクリックし、[閉じる] をクリックします。

  6. すべてのトラフィックを代行受信するポリシーを追加します。［バインド］ をクリックします。[Add] をクリックして新しいポリシーを追加するか、既存のポリシーを選択します。既存のポリシーを選択した場合は、[Insert] をクリックし、次の 3 つの手順をスキップします。

    SSLポリシーを追加する

  7. ポリシーの名前を入力し、[詳細設定] を選択します。式エディタで true と入力します。

  8. [アクション] で、[インターセプト] を選択します。

    SSLポリシーは正しい

  9. ［作成］ をクリックします。

  10. [続行] を 4 回クリックし、[完了] をクリックします。

ICAPの設定を構成する

  1. [負荷分散] > [サービス] に移動し、[追加] をクリックします。

    TCPサービスを追加する

  2. 名前と IP アドレスを入力します。「 プロトコル」で、「 TCP」を選択します。[ポート] に 1344と入力します。［OK］ をクリックします。

    追加

  3. [SSL フォワードプロキシ] > [プロキシ仮想サーバー] に移動します。プロキシ仮想サーバーを追加するか、仮想サーバーを選択して「 編集」をクリックします。詳細を入力したら、[OK] をクリックします。

    プロキシサーバー

    もう一度 [OK] をクリックします 。

    プロキシサーバーOK

  4. [詳細設定]で、[ポリシー] をクリックします。

    ポリシーの追加

  5. 「ポリシーの選択」で、「 コンテンツ検査」を選択します。［続行］ をクリックします。

    コンテンツ検査ポリシーを追加する

  6. [ポリシーの選択] で、[+] 記号をクリックしてポリシーを追加します。

    コンテンツ検査ポリシーを追加する

  7. ポリシーの名前を入力します。[アクション] で、[+] 記号をクリックしてアクションを追加します。

    コンテンツ検査ポリシーアクションを追加する

  8. アクションの名前を入力します。[サーバー名]に、以前に作成した TCP サービスの名前を入力します。ICAPプロファイルで、「+」記号をクリックしてICAPプロファイルを追加します。

    ICAPアクションプロファイル

  9. プロファイル名「URI」を入力します。「 モード」で「 REQMOD」を選択します。

    ICAPプロファイル

  10. ［作成］ をクリックします。

    ICAPプロファイルの作成

  11. 「 ICAPアクションの作成 」ページで、「 作成 」をクリックします。

    ICAPアクションの作成

  12. ICAP ポリシーの作成 ページで、 式エディター に true と入力します。次に、[作成] をクリックします。

    ICAPポリシーの作成

  13. ［バインド］ をクリックします。

    ICAPポリシーバインディング

  14. コンテンツ検査機能を有効にするように求められたら、[ はい]を選択します。

    コンテンツ検査を有効にする

  15. ［完了］ をクリックします。

    Done

Citrix ADCアプライアンスとRESPMODのICAPサーバーとの間のサンプルICAPトランザクション

Citrix ADCアプライアンスからICAPサーバーへの要求：

RESPMOD icap://10.106.137.15:1344/resp ICAP/1.0

Host: 10.106.137.15

Connection: Keep-Alive

Encapsulated: res-hdr=0, res-body=282

HTTP/1.1 200 OK

Date: Fri, 01 Dec 2017 11:55:18 GMT

Server: Apache/2.2.21 (Fedora)

Last-Modified: Fri, 01 Dec 2017 11:16:16 GMT

ETag: "20169-45-55f457f42aee4"

Accept-Ranges: bytes

Content-Length: 69

Keep-Alive: timeout=15, max=100

Content-Type: text/plain; charset=UTF-8

X5O!P%@AP[4PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
<!--NeedCopy-->

ICAPサーバーからCitrix ADCアプライアンスへの応答：

ICAP/1.0 200 OK

Connection: keep-alive

Date: Fri, 01 Dec, 2017 11:40:42 GMT

Encapsulated: res-hdr=0, res-body=224

Server: IWSVA 6.5-SP1_Build_Linux_1080 $Date: 04/09/2015 01:19:26 AM$

ISTag: "9.8-13.815.00-3.100.1027-1.0"

X-Virus-ID: Eicar_test_file

X-Infection-Found: Type=0; Resolution=2; Threat=Eicar_test_file;

HTTP/1.1 403 Forbidden

Date: Fri, 01 Dec, 2017 11:40:42 GMT

Cache-Control: no-cache

Content-Type: text/html; charset=UTF-8

Server: IWSVA 6.5-SP1_Build_Linux_1080 $Date: 04/09/2015 01:19:26 AM$

Content-Length: 5688

<html><head><META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=UTF-8"/>

…

…

</body></html>
<!--NeedCopy-->
ユースケース：リモートマルウェア検査にICAPを使用してエンタープライズネットワークを安全にする
October 7, 2021
寄稿者: 
C
October 7, 2021
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.