入门使用 Citrix ADC MPX 和 VPX SWG 设备

安装硬件 (MPX) 或软件 (VPX) 设备并执行初始配置后,即可将其配置为用于接收流量的 Secure Web Gateway 设备。

重要

  • OCSP 检查需要 Internet 连接以检查证书的有效性。如果您的设备无法通过使用 NSIP 地址从 Internet 访问,则添加访问控制列表 (ACL),以从 NSIP 地址向子网 IP (截图) 地址执行 NAT。必须可以从 Internet 访问 SNIP。例如,

     add ns acl a1 ALLOW -srcIP = <NSIP> -destIP "!=" 10.0.0.0-10.255.255.255
    
     set rnat a1 -natIP <SNIP>
    
     apply acls
     <!--NeedCopy-->
    
  • 指定用于解析域名的 DNS 名称服务器。有关详细信息,请参阅初始配置
  • 请确保设备上的日期与 NTP 服务器同步。如果日期未同步,设备将无法有效验证源服务器证书是否已过期。

要使用 Citrix SWG 设备,必须执行以下任务:

  • 以显式或透明模式添加代理服务器。
  • 启用 SSL 拦截。
    • 配置 SSL 配置文件。
    • 将 SSL 策略添加并绑定到代理服务器。
    • 添加和绑定 CA 证书密钥对以进行 SSL 拦截。

注意: 在透明代理模式下配置的 Citrix SWG 设备只能拦截 HTTP 和 HTTPS 协议。若要绕过任何其他协议(如 telnet),必须在代理虚拟服务器上添加以下侦听策略。

虚拟服务器现在仅接受 HTTP 和 HTTPS 传入流量。

set cs vserver transparent-pxy1 PROXY * * -cltTimeout 180 -Listenpolicy "CLIENT.TCP.DSTPORT.EQ(80) || CLIENT.TCP.DSTPORT.EQ(443)"`
<!--NeedCopy-->

您可能需要配置以下功能,具体取决于您的部署:

  • 身份验证服务(推荐)-对用户进行身份验证。如果没有身份验证服务,则用户活动基于客户端 IP 地址。
  • URL 过滤 – 按类别、信誉分数和 URL 列表过滤 URL。
  • 分析 — 查看 Citrix Application Delivery Management (ADM) 中的用户活动、用户风险指标、带宽消耗和事务细分。

注意: SWG 实施了大多数典型的 HTTP 和 HTTPS 标准,其次是类似产品。这个实现是在没有特定的浏览器的情况下完成的,并且与大多数常见的浏览器兼容。SWG 已使用常见浏览器和最新版本的谷歌 Chrome、Internet Explorer 和 Mozilla Firefox 进行了测试。

Secure Web Gateway 向导

SWG 向导为管理员提供了使用 Web 浏览器管理整个 SWG 部署的工具。它有助于指导客户快速启动 SWG 服务,并通过遵循一系列明确定义的步骤来帮助简化配置。

  1. 打开 Web 浏览器并输入在初始配置过程中指定的 NSIP 地址。有关初始配置的详细信息, 请参阅 初始配置

  2. 键入用户名和密码。

    本地化后的图片

  3. 如果未指定子网 IP (SNIP) 地址,则将显示以下屏幕。

    本地化后的图片

    在“子网 IP 地址”中,输入 IP 地址和子网掩码。绿色圆圈中的复选标记表示该值已配置。

  4. 主机名DNS IP 地址和时区中,添加 DNS 服务器的 IP 地址以解析域名,并指定您的时区。

  5. 单击继续

  6. (可选)您可能会看到感叹号,如下所示:

    本地化后的图片

    此标记表示该功能未启用。要启用该功能,请右键单击该功能,然后单击 启用功能

    本地化后的图片

  7. 在导航窗格中,单击 Secure Web Gateway。在 入门中,单击 Secure Web Gateway 向导

    本地化后的图片

  8. 按照向导中的步骤配置部署。

向透明代理服务器添加侦听策略

  1. 导航到 Secure Web Gateway > Proxy Servers(代理服务器)。选择透明代理服务器,然后单击 编辑

  2. 编辑 基本设置,然后单击 更多

  3. 在“聆听优先级”中,输入 1。

  4. 在“侦听策略表达式”中,输入以下表达式:

    (CLIENT.TCP.DSTPORT.EQ(80)||CLIENT.TCP.DSTPORT.EQ(443))
    <!--NeedCopy-->
    

    此表达式假定 HTTP 和 HTTPS 流量的标准端口。如果您配置了不同的端口(例如 HTTP 的 8080 或 HTTPS 的 8443),请修改表达式以反映这些端口。

限制

群集设置、管理分区和 Citrix ADC FIPS 设备不支持 SWG。

入门使用 Citrix ADC MPX 和 VPX SWG 设备