プロキシモード
Citrix Secure Web Gateway™ (SWG) アプライアンスは、クライアントがインターネットおよびSaaSアプリケーションに接続するためのプロキシとして機能します。プロキシとして、すべてトラフィックを受け入れ、トラフィックのプロトコルを決定します。トラフィックがHTTPまたはSSLでない限り、そのまま宛先に転送されます。アプライアンスがクライアントから要求を受信すると、その要求を傍受し、ユーザー認証、サイト分類、リダイレクトなどのアクションを実行します。アプライアンスはポリシーを使用して、許可するトラフィックとブロックするトラフィックを決定します。
アプライアンスは、クライアントとプロキシ間、およびプロキシとオリジンサーバー間の2つの異なるセッションを維持します。プロキシは、顧客が定義したポリシーに基づいてHTTPおよびHTTPSトラフィックを許可またはブロックします。そのため、財務情報などの機密データをバイパスするポリシーを定義することが重要です。アプライアンスは、レイヤー4からレイヤー7のトラフィック属性とユーザーID属性の豊富なセットを提供し、トラフィック管理ポリシーを作成できます。
SSLトラフィックの場合、プロキシはオリジンサーバーの証明書を検証し、サーバーとの正当な接続を確立します。次に、サーバー証明書をエミュレートし、Citrix® SWGにインストールされているCA証明書を使用して署名し、作成されたサーバー証明書をクライアントに提示します。SSLセッションを正常に確立するには、CA証明書をクライアントのブラウザに信頼された証明書として追加する必要があります。
アプライアンスは、透過型プロキシモードと明示的プロキシモードをサポートしています。明示的プロキシモードでは、組織がクライアントのデバイスに設定をプッシュしない限り、クライアントはブラウザでIPアドレスを指定する必要があります。このアドレスは、SWGアプライアンスで構成されているプロキシサーバーのIPアドレスです。すべてのクライアント要求はこのIPアドレスに送信されます。明示的プロキシの場合、タイプPROXYのコンテンツスイッチング仮想サーバーを構成し、IPアドレスと有効なポート番号を指定する必要があります。
透過型プロキシは、その名前が示すとおり、クライアントに対して透過的です。つまり、クライアントはプロキシサーバーが要求を仲介していることを認識していない可能性があります。SWGアプライアンスはインライン展開で構成され、すべてのHTTPおよびHTTPSトラフィックを透過的に受け入れます。透過型プロキシの場合、IPアドレスとポートとしてアスタリスク (* *) を指定して、タイプPROXYのコンテンツスイッチング仮想サーバーを構成する必要があります。GUIでSecure Web Gatewayウィザードを使用する場合、IPアドレスとポートを指定する必要はありません。
注
透過型プロキシモードでHTTPおよびHTTPS以外のプロトコルを傍受するには、リスンポリシーを追加し、それをプロキシサーバーにバインドする必要があります。
Citrix SWG CLIを使用したSSLフォワードプロキシの構成
コマンドプロンプトで、次のように入力します。
add cs vserver <name> PROXY <ipaddress> <port>
<!--NeedCopy-->
引数:
名前:
プロキシサーバーの名前。ASCII英数字またはアンダースコア (_) 文字で始まり、ASCII英数字、アンダースコア、ハッシュ (#)、ピリオド (.)、スペース、コロン (:)、アットマーク (@)、等号 (=)、ハイフン (-) の文字のみを含める必要があります。CS仮想サーバーの作成後は変更できません。
次の要件はCLIにのみ適用されます。
名前に1つ以上のスペースが含まれる場合は、二重引用符または一重引用符で名前を囲みます (例: “my server” または ‘my server’)。
これは必須引数です。最大長: 127
IPアドレス:
プロキシサーバーのIPアドレス。
ポート:
プロキシサーバーのポート番号。最小値: 1
明示的プロキシの例:
add cs vserver swgVS PROXY 192.0.2.100 80
<!--NeedCopy-->
透過型プロキシの例:
add cs vserver swgVS PROXY * *
<!--NeedCopy-->
Citrix SWG GUIを使用した透過型プロキシサーバーへのリスンポリシーの追加
- Secure Web Gateway > Proxy Servers に移動します。透過型プロキシサーバーを選択し、Edit をクリックします。
- Basic Settings を編集し、More をクリックします。
- Listen priority に「1」と入力します。
-
Listen Policy Expression に、次の式を入力します。
(CLIENT.TCP.DSTPORT.EQ(80)||CLIENT.TCP.DSTPORT.EQ(443)) <!--NeedCopy-->
注
この式は、HTTPおよびHTTPSトラフィックの標準ポートを想定しています。HTTPに8080、HTTPSに8443など、異なるポートを構成している場合は、上記の式を変更してそれらのポートを指定してください。