入门使用 Citrix ADC MPX 和 VPX SWG 设备
安装硬件 (MPX) 或软件 (VPX) 设备并执行初始配置后,即可将其配置为用于接收流量的 Secure Web Gateway 设备。
重要:
-
OCSP 检查需要 Internet 连接以检查证书的有效性。如果您的设备无法通过使用 NSIP 地址从 Internet 访问,则添加访问控制列表 (ACL),以从 NSIP 地址向子网 IP (截图) 地址执行 NAT。必须可以从 Internet 访问 SNIP。例如,
add ns acl a1 ALLOW -srcIP = <NSIP> -destIP "!=" 10.0.0.0-10.255.255.255 set rnat a1 -natIP <SNIP> apply acls <!--NeedCopy-->
- 指定用于解析域名的 DNS 名称服务器。有关详细信息,请参阅初始配置。
- 请确保设备上的日期与 NTP 服务器同步。如果日期未同步,设备将无法有效验证源服务器证书是否已过期。
要使用 Citrix SWG 设备,必须执行以下任务:
- 以显式或透明模式添加代理服务器。
- 启用 SSL 拦截。
- 配置 SSL 配置文件。
- 将 SSL 策略添加并绑定到代理服务器。
- 添加和绑定 CA 证书密钥对以进行 SSL 拦截。
注意: 在透明代理模式下配置的 Citrix SWG 设备只能拦截 HTTP 和 HTTPS 协议。若要绕过任何其他协议(如 telnet),必须在代理虚拟服务器上添加以下侦听策略。
虚拟服务器现在仅接受 HTTP 和 HTTPS 传入流量。
set cs vserver transparent-pxy1 PROXY * * -cltTimeout 180 -Listenpolicy "CLIENT.TCP.DSTPORT.EQ(80) || CLIENT.TCP.DSTPORT.EQ(443)"`
<!--NeedCopy-->
您可能需要配置以下功能,具体取决于您的部署:
- 身份验证服务(推荐)-对用户进行身份验证。如果没有身份验证服务,则用户活动基于客户端 IP 地址。
- URL 过滤 – 按类别、信誉分数和 URL 列表过滤 URL。
- 分析 — 查看 Citrix Application Delivery Management (ADM) 中的用户活动、用户风险指标、带宽消耗和事务细分。
注意: SWG 实施了大多数典型的 HTTP 和 HTTPS 标准,其次是类似产品。这个实现是在没有特定的浏览器的情况下完成的,并且与大多数常见的浏览器兼容。SWG 已使用常见浏览器和最新版本的谷歌 Chrome、Internet Explorer 和 Mozilla Firefox 进行了测试。
Secure Web Gateway 向导
SWG 向导为管理员提供了使用 Web 浏览器管理整个 SWG 部署的工具。它有助于指导客户快速启动 SWG 服务,并通过遵循一系列明确定义的步骤来帮助简化配置。
-
打开 Web 浏览器并输入在初始配置过程中指定的 NSIP 地址。有关初始配置的详细信息, 请参阅 初始配置。
-
键入用户名和密码。
-
如果未指定子网 IP (SNIP) 地址,则将显示以下屏幕。
在“子网 IP 地址”中,输入 IP 地址和子网掩码。绿色圆圈中的复选标记表示该值已配置。
-
在主机名、DNS IP 地址和时区中,添加 DNS 服务器的 IP 地址以解析域名,并指定您的时区。
-
单击继续。
-
(可选)您可能会看到感叹号,如下所示:
此标记表示该功能未启用。要启用该功能,请右键单击该功能,然后单击 启用功能。
-
在导航窗格中,单击 Secure Web Gateway。在 入门中,单击 Secure Web Gateway 向导。
-
按照向导中的步骤配置部署。
向透明代理服务器添加侦听策略
-
导航到 Secure Web Gateway > Proxy Servers(代理服务器)。选择透明代理服务器,然后单击 编辑。
-
编辑 基本设置,然后单击 更多。
-
在“聆听优先级”中,输入 1。
-
在“侦听策略表达式”中,输入以下表达式:
(CLIENT.TCP.DSTPORT.EQ(80)||CLIENT.TCP.DSTPORT.EQ(443)) <!--NeedCopy-->
此表达式假定 HTTP 和 HTTPS 流量的标准端口。如果您配置了不同的端口(例如 HTTP 的 8080 或 HTTPS 的 8443),请修改表达式以反映这些端口。
限制
群集设置、管理分区和 Citrix ADC FIPS 设备不支持 SWG。