Skip to main content
CID222 Docs
Yönetim

Tarayıcı trafiği denetimini yapılandırın

Bir SWG'nin ya da satır içi vekilin uyacağı denetim politikasını belirleyin: hangi sunucu adları denetlenir, kimler bağlanabilir ve zaman aşımında ne olur.

  • Sürüm: 0.4
  • Özellik: icap
  • Rol: admin_user
  • Tür: görev

Tarayıcı Denetimi, bir güvenli web ağ geçidinden (SWG) Internet Content Adaptation Protocol (ICAP) ya da HTTP çağrısı üzerinden ve yerleşik mitmproxy ileri yönlü vekilinden gelen trafiği yöneten politikayı belirlediğiniz yerdir. Ürettiği tespitler Tüm Tespitler sayfasına düşer.

Neye ihtiyacım var?

Lisans
Any
Rol
admin_user

Ön koşullar

  • superadmin olarak oturum açtınız. Bir admin_user bu sayfayı okuyabilir ama cihaz genelindeki politikayı kaydetmesi reddedilir.
  • ICAP ya da bir HTTP çağrısı yapabilen bir SWG veya cihazda çalışan inline-proxy compose profili.
  • Kısıtlamayı düşünüyorsanız, SWG'nizin ICAP dinleyicisine bağlandığı adresler.
  • mTLS için, ağ geçidinin önünde istemci sertifikasını doğrulayan ve konu DN'ini ileten bir ters vekil sunucu.

Denetim politikasını belirleyin

Sayfayı açın

Tespit ve Filtreleme → Tarayıcı Denetimi seçin.

Connected SWG sources (bağlı SWG kaynakları) son bir saatte alınan çağrıları listeler — SWG tarafının bu cihaza hiç ulaşıp ulaşmadığının en hızlı denetimidir — ve LLM-frontend adapter coverage cihazın ayrıştırmayı bildiği web ön yüzlerini listeler.

Denetlenecek sunucu adlarını verin

Policy configuration (politika yapılandırması) bölümünde Enabled hostnames altına satır başına bir sunucu adı yazın.

Bunlar SWG tarafında yapılandırılan URL kategorisiyle eşleşmelidir. Yeni bir cihaz, yaygın LLM ön yüzleriyle önceden doldurulmuş gelir.

Asla denetlenmeyecek sunucu adlarını verin

Bankacılık, bordro, İK ve hukuk sunucularını Bypass hostnames altına yazın.

Atlanan bir sunucu, SWG onu gönderse bile denetlenmez.

ICAP dinleyicisine kimlerin bağlanabileceğini kısıtlayın

SWG'nin adreslerini virgülle ayırarak Allowed ICAP peer IPs / CIDRs alanına girin.

Burayı doldurmadan önce bir sonraki bölümü okuyun: liste, varsayılana eklemez, onun yerine geçer.

Zaman aşımını ve arıza kipini ayarlayın

Inspection timeout (ms) değerini — eşzamanlı denetimin katı üst sınırı, en az 50 — ayarlayın ve Fail closed (BLOCK) on timeout seçeneğini açık bırakın.

Denetim arka planda hiçbir iş çalıştırmaz, bu yüzden bu zaman aşımı bütçenin tamamıdır. Kapalı kalarak başarısızlık, zaman aşımına uğrayan bir denetimin serbest bırakmak yerine engellemesi demektir.

mTLS kullanıyorsanız istemci sertifikası isteyin

Beklenen konuyu mTLS client subject DN alanına girin, örneğin CN=swg.acme.com,O=Acme Corp. mTLS kullanmıyorsanız boş bırakın.

Bu, HTTP çağrısı yolunda ek bir koşuldur. Ne bir bearer belirteci ne de ağ konumu onun yerine geçer ve yapılandırılmışken DN'siz gelen bir istek reddedilir.

Kaydedin

Policy active seçeneğini açın ve Save policy seçin.

Inspection policy updated bildirimi bunu doğrular.

Kimler bağlanabilir

İki giriş yolu farklı biçimde yetkilendirir; çünkü ICAP ağ geçidine çok daha az malzeme verir.

HTTP çağrısı (/inspect/v1) geçerli bir cid_key_ bearer belirteci kabul eder ve bu belirteç kiracıyı da çözümler. Anahtarsız bir çağrı yalnızca özel adres alanından ve yalnızca istek bir ters vekil sunucudan geçmediyse kabul edilir — yerel satır içi vekil yardımcı kapsayıcısının anahtarsız çalışırken genel kenarın çalışmamasının yolu budur. Vekilden geliş iki biçimde tespit edilir, ikisi de yeterlidir: gönderilen nginx ve Caddy yapılandırmalarının koyduğu genel kenar damgası ve herhangi bir forwarded-for başlığının varlığı.

ICAP dinleyicisi eşini hiç kimlik doğrulayamaz. CID'nin tümleştiği SWG ürünlerinin hiçbiri — FortiProxy, FortiSASE, Forcepoint, Symantec ProxySG, Cisco WSA, McAfee/Skyhigh, Zscaler ZIA — ICAP profilinde bir kimlik bilgisi ya da özel başlık alanı sunmaz, dolayısıyla bir eşin gönderebileceği hiçbir şey yoktur. Kabul yalnızca adrese dayanır ve kabul edilen bir eşe inanılır: dinleyici, iddia ettiği kimliği doğrulanmış kullanıcı konusunda onun sözüne güvenir.

Allowed ICAP peer IPs / CIDRsKimler bağlanabilir
BoşÖzel alandaki her adres — tarihsel varsayılan
DoluYalnızca listelenen adresler, başka hiçbir şey

Danger

Liste, özel aralık varsayılanıyla kesişmek yerine onun yerine geçer. Bu nedenle eklediğiniz bulut SWG çıkış aralıklarını değil, yerinde çalışan cihazlar dahil her eşi adlandırmalıdır. Eşleşebilecek hiçbir şey adlandırmayan bir liste denetimi tamamen devre dışı bırakır.

Girdiler çıplak adresleri, CIDR'leri ve IPv6 değişmezlerini karıştırabilir. Liste önbelleğe alınır, beş dakikada bir ve kaydetmede hemen yenilenir; başarısız bir yenileme, kimin bağlanabileceğini değiştirmek yerine önceki listeyi korur. Denetim TCP bağlantı anında çalışır, bu yüzden listeyi sıkılaştırmak, havuzlama yapan bir SWG'nin zaten açık tuttuğu bağlantıları reddetmez — ICAP bağlantılarını yeniden kurdurun ve yeni listenin yürürlükte olduğunu varsaymak yerine ağ geçidi günlüğünden doğrulayın. Liste, HTTP çağrısı yolunu kısıtlamaz.

Warning

Hem Allowed ICAP peer IPs / CIDRs hem mTLS client subject DN bu sürümden önce saklanıyor, gösteriliyor ama hiçbir yerde okunmuyordu. Mevcut bir cihazdaki bir değer bu yüzden hiç uygulanmadığından, yükseltme ikisini de temizler ve önceki değerleri olay günlüğüne kaydeder — ikisini de bilinçli olarak, çalışan bir sistemde ve etkisi görünürken yeniden girin.

Dinleyicinin kimin aradığını görebildiğini denetleyin

Her eş aynı adresle geliyorsa kaynak IP kabulünün hiçbir değeri kalmaz ve aynı ana makinedeki bir sanal makine laboratuvarında tam olarak bu olur. Kaynak ağın kendi NAT'ı, paket dinleyiciye ulaşmadan önce kaynağı yeniden yazar; böylece iki SWG sanal makinesi de kapsayıcı köprüsü ağ geçidi olarak gelir ve bir izin listesi ya herkesi reddeder ya herkesi kabul eder. Fiziksel bir LAN'daki bir SWG adresini korur ve izin listesi çalışır.

Dinleyici bu durumu tespit eder ve bir eş ilk kez kendi varsayılan ağ geçidiyle geldiğinde günlüğe yazar. Herhangi bir kaynak IP denetimine güvenmeden önce o günlüğü okuyun — bkz. ICAP eşlerinin tümü docker köprüsüyle geliyor.

Trafiği kişilere ilişkilendirin

SWG çağrıları, SWG bir kimlik sağlamadıkça kendi kimliklerini taşımaz; bu yüzden ilişkilendirilmemiş bir satır normal arızadır. Çözümleme ilk isabeti alır: SWG'nin gönderdiği kimliği doğrulanmış kullanıcı başlığı (normalleştirilir; böylece ACME\sarah, WinNT://ACME/sarah ve sarah@acme.local tek bir kişiye dönüşür), ardından burada tuttuğunuz ilişkilendirme kuralları.

Bir adresi bir kişiye eşleyin

Add attribution (ilişkilendirme ekle) seçin, sonra IP adresini ya da CIDR aralığını, kiracıyı, okunabilir bir etiketi ve varsa notları girin.

Satır, o adresten gelen denetim olaylarında kimin adının görüneceğine karar verir.

Toplu yükleyin

Import CSV seçin.

Toplu içe aktarma ya hep ya hiçtir, 2000 satırla sınırlıdır ve bozuk bir CIDR isteğin tamamını 400 ile başarısız kılar.

Ya da işi etki alanı denetleyicisine bırakın

Windows User-ID betiğini indirmek için DC agent script seçin.

Ajan dizin oturum açmalarını bildirir; böylece ilişkilendirme masaları değil kişileri izler. Bkz. User-ID ilişkilendirmesi.

İlişkilendirme satırları kişileri adlandırır, bu yüzden kapsamlıdır: bir admin_user yalnızca kendi biriminin satırlarını okur ve yazar; kapsam dışı bir yazma sessizce yeniden yönlendirilmek yerine reddedilir.

Satır içi vekilin kök CA'sını dağıtın

Root CA certificate & PAC kartı yalnızca yerleşik mitmproxy ileri yönlü vekili için geçerlidir.

Vekilin çalıştığını doğrulayın

Kartı okuyun.

Çalışıyorsa kart CA fingerprint (SHA-256) değerini gösterir. Aksi hâlde Inline proxy is not running on this appliance yazar ve indirme düğmeleri devre dışı kalır — sertifika vekil ilk başladığında oluşturulur ve pano onu başlatamaz.

Sertifikayı indirin

cid222-root.crt, .pem ya da .cer seçin.

Tarayıcıların vekilin verdiği uç sertifikaları kabul etmesi için grup ilkesiyle yönetilen uç noktalara dağıtın.

Yönetilen tarayıcıları vekile yönlendirin

Copy PAC URL seçin ve bunu yönetilen Chrome için otomatik vekil betiği olarak ayarlayın.

LLM sunucu adları 8443 numaralı bağlantı noktasındaki satır içi vekilden geçer; diğer her şey doğrudan gider. PAC istemci tarafında beş dakika önbelleğe alınır.

Warning

Burada üç sertifika birbirine karıştırılır. Bu kart yalnızca satır içi vekilin kök CA'sıdır — cihazın kendi HTTPS sertifikası değil, bir uç nokta ajanının ürettiği cihaz başına CA da değil. Kendi SWG'leri üzerinden denetim yapan müşterilerin buna hiç ihtiyacı olmaz: SWG'lerinin kendi CA'sı vardır.

Alan başvurusu

AlanKuralİşlevi
Enabled hostnamesSatır başına bir taneDenetimden geçirilen sunucu adları. SWG tarafındaki URL kategorisiyle eşleşmelidir
Bypass hostnamesSatır başına bir taneSWG gönderse bile asla denetlenmez
Allowed ICAP peer IPs / CIDRsAdresler, CIDR'ler ya da IPv6 değişmezleri; virgül veya satır sonuyla ayrılırICAP dinleyicisine kimlerin bağlanabileceği. Boş, özel alandaki her ana makine demektir. Dolu olması bu varsayılanın tamamen yerine geçer
Inspection timeout (ms)Tam sayı, en az 50Eşzamanlı denetimin üst sınırı
mTLS client subject DNEn fazla 512 karakterHTTP çağrısı yolunda zorunlu istemci sertifikası konusu. Boş bırakmak denetimi kapatır
Fail closed (BLOCK) on timeoutVarsayılan açıkZaman aşımına uğrayan bir denetimin isteği engelleyip engellemeyeceği
Policy activeVarsayılan açıkBu politikanın hiç uygulanıp uygulanmayacağı

Ana makine düzeyindeki ayarlar

Bunlar sayfada değildir. Cihazın ana makinesinde ayarlanır ve yeniden başlatmada etkinleşir.

DeğişkenEtkisi
ICAP_PUBLISHICAP dinleyicisinin bağlandığı adres. Gerçek eş adresinin görülemediği yerde geri döngüde tutun ve bunun yerine bağlantı noktasını güvenlik duvarıyla kapatın
CID_RESUMABLE_UPLOAD_POLICYParçalı ya da sürdürülebilir bir yüklemenin bir parçasına ne olacağı. Varsayılanı engellemektir
CID_INSPECT_FAIL_OPENAğ geçidine erişilemediğinde satır içi vekilin trafiği serbest bırakıp bırakmayacağı
DEFAULT_INSPECTION_TENANT_IDİlişkilendirilmemiş denetim olaylarının kaydedildiği kiracı. Gerçek bir kişiyi adlandırmamalıdır

Warning

Çok istekli bir yüklemenin bir parçası denetlenemez — OCR dosyanın bir diliminde görür — bu yüzden üç yakalama yolu da bunları varsayılan olarak reddeder. Yeniden birleştirme uygulanmadı; bu da sürdürülebilir bir yüklemeyle büyük bir dosya gönderen kullanıcının maskeleme değil ret alması demektir.

Doğrulama

  1. SWG üzerinden test trafiği gönderin. Connected SWG sources içinde kaynak adresi, çıkarılan sağlayıcı ve bir saat içinde son görülme bilgisiyle bir satır görünür.
  2. Tüm Tespitler sayfasını Kaynak Tarayıcı denetimi olarak açın ve tespitin orada olduğunu doğrulayın.
  3. Politikayı kaydetmek, değişen koruma taşıyan her alan için bir POLICY_PROTECTION_CHANGED satırı yazar — Policy active ya da Fail closed (BLOCK) on timeout seçeneğini kapatmak, önceki ve sonraki değerle birlikte kaydedilir. Kapalı kalarak başarısızlıkla sonuçlanan zaman aşımları ve hatalar INSPECTION_TIMEOUT, INSPECTION_ERROR ve INSPECTION_REDACTION_FAILED olarak kaydedilir.
  4. İzin listesini sıkılaştırdıktan sonra SWG'yi yeniden bağlanmaya zorlayın ve ağ geçidi günlüğünden reddin beklediğiniz adresi adlandırdığını doğrulayın.

Başarısız olursa

  • allowed_source_ips contains entries that can never match: … Use an IPv4 address (10.0.5.42), an IPv4 CIDR (10.0.5.0/24), or an IPv6 literal (::1). — bir girdi yazım hatası, bir sunucu adı ya da olanaksız bir önektir. DTO bunu reddeder; çünkü bu anlambilimde yazım hatalarından oluşan bir liste her eşi reddederdi.
  • Only a superadmin may change the appliance-wide inspection policy — bu sayfa her zaman cihaz genelindeki satırı yazar ve o satır her kullanıcının devraldığı duruştur. Yetki yükseltin; bu formun birim bazlı bir sürümünü aramayın.
  • SWG ICAP arızaları bildiriyor ve Connected SWG sources içinde hiçbir şey görünmüyor — eş bağlantı anında reddedildi. Ret, ICAP yanıtı olmayan bir soket kapanışıdır; ayrıca ağ geçidi günlüğünde eşi ve onu reddeden kuralı adlandıran bir uyarı bulunur.
  • Her eş aynı kaynak adresini gösteriyor — bkz. ICAP eşlerinin tümü docker köprüsüyle geliyor.
  • Bir yükseltmeden sonra her /inspect/v1 çağıranı 403 almaya başlıyor — eskimiş bir mTLS client subject DN ilk kez uygulanıyor. Temizleyin ya da sonlandırıcınızın ilettiği DN'i düzeltin.
  • Tespitler kullanıcısız geliyor — ilişkilendirme başarısız oldu. Bir ilişkilendirme satırı ekleyin, DC ajanını dağıtın ya da satırların en azından bir yere kaydedilmesi için varsayılan denetim kiracısını ayarlayın.

Sonraki adımlar

Son güncelleme

Bu sayfada