产品文档
ADC
14.1 - Current Release 13.1 13.0 12.1
查看 PDF

开始使用 SSL 转发代理功能

October 7, 2021
投稿者: 
C

重要：

  • OCSP 检查需要 Internet 连接以检查证书的有效性。如果您的设备无法通过使用 NSIP 地址从 Internet 访问，则添加访问控制列表 (ACL)，以从 NSIP 地址向子网 IP (截图) 地址执行 NAT。SNIP 必须能够访问互联网。例如，

     add ns acl a1 ALLOW -srcIP = <NSIP> -destIP “!=” 10.0.0.0-10.255.255.255

 add rnat RNAT-1 a1

 bind rnat RNAT-1 -<SNIP>

 apply acls
 <!--NeedCopy-->
  • 指定用于解析域名的 DNS 名称服务器。
  • 请确保设备上的日期与 NTP 服务器同步。如果日期未同步，设备将无法有效验证源服务器证书是否已过期。

要使用 SSL 转发代理功能，必须执行以下任务：

  • 以显式或透明模式添加代理服务器。
  • 启用 SSL 拦截。
    • 配置 SSL 配置文件。
    • 将 SSL 策略添加并绑定到代理服务器。
    • 添加和绑定 CA 证书密钥对以进行 SSL 拦截。

注意：

在透明代理模式下配置的 ADC 设备只能拦截 HTTP 和 HTTPS 协议。若要绕过任何其他协议（如 telnet），必须在代理虚拟服务器上添加以下侦听策略。

虚拟服务器现在仅接受 HTTP 和 HTTPS 传入流量。

set cs vserver transparent-pxy1 PROXY * * -cltTimeout 180 -Listenpolicy "CLIENT.TCP.DSTPORT.EQ(80) || CLIENT.TCP.DSTPORT.EQ(443)"`
<!--NeedCopy-->

您可能需要配置以下功能，具体取决于您的部署：

  • 身份验证服务（推荐）-对用户进行身份验证。如果没有身份验证服务，则用户活动基于客户端 IP 地址。
  • URL 过滤 – 按类别、信誉分数和 URL 列表过滤 URL。
  • 分析 — 查看 Citrix Application Delivery Management (ADM) 中的用户活动、用户风险指标、带宽消耗和事务细分。

注意： SSL 转发代理实现了大多数典型的 HTTP 和 HTTPS 标准，其次是类似的产品。这个实现是在没有特定的浏览器的情况下完成的，并且与大多数常见的浏览器兼容。SSL 转发代理已通过常见的浏览器和 Google Chrome、Internet Explorer 和 Mozilla Firefox 的最新版本的测试。

SSL 转发代理向导

SSL 转发代理向导为管理员提供了使用 Web 浏览器管理整个 SSL 转发代理部署的工具。它有助于指导客户快速启动 SSL 转发代理服务，并通过遵循一系列明确定义的步骤来帮助简化配置。

  1. 导航到安全 > SSL 转发代理。在 入门中，单击 SSL 转发代理向导。

    新向导

  2. 按照向导中的步骤配置部署。

向透明代理服务器添加侦听策略

  1. 导航到“安全”>“SSL 转发代理”>“代理虚拟服务器”。选择透明代理服务器，然后单击 编辑。

  2. 编辑 基本设置，然后单击 更多。

  3. 在“聆听优先级”中，输入 1。

  4. 在“侦听策略表达式”中，输入以下表达式：

    (CLIENT.TCP.DSTPORT.EQ(80)||CLIENT.TCP.DSTPORT.EQ(443))
<!--NeedCopy-->

    此表达式假定 HTTP 和 HTTPS 流量的标准端口。如果您配置了不同的端口（例如 HTTP 的 8080 或 HTTPS 的 8443），请修改表达式以反映这些端口。

限制

群集设置、管理分区和 Citrix ADC FIPS 设备上不支持 SSL 转发代理。

开始使用 SSL 转发代理功能
October 7, 2021
投稿者: 
C
October 7, 2021
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.