ICAP ve üçüncü taraf ağ geçitleri

Müşteri zaten bir güvenli web ağ geçidi çalıştırıyorsa, o ürün çalışanın şifreli oturumunun uç noktasıdır ve sertifika otoritesi zaten her yönetilen cihazdadır. CID222, onun çağırdığı tarayıcıya dönüşür. Dinleyiciyi açar, ağ geçidinin konsolunda tek bir hizmet girdisi eklersiniz, bunu sağlayıcı ana bilgisayar adlarıyla sınırlar, kimin çağırabileceğine karar verir ve bir tespitin tetiklendiğini kanıtlarsınız.

Ağ geçidi neyle konuşur

CID222, aynı hat için iki giriş biçimi sunar. Hangisini kullanacağınıza CID222 değil, ağ geçidi ürünü karar verir.

Dinleyici üç yöntemi yanıtlar. Bir OPTIONS isteği hizmetin yeteneklerini döndürür:

ICAP/1.0 200 OK
ISTag: "cid-core-v1"
Methods: REQMOD, RESPMOD
Service: cid-core inspection
Max-Connections: 1024
Options-TTL: 60
Allow: 204

Bu yanıtın dört özelliği, bir ağ geçidinin nasıl yapılandırılması gerektiğine karar verir.

• Bilinçli olarak önizleme duyurulmaz. Dolayısıyla ağ geçidi, CID222'nin göndermediği bir devam yanıtını bekleyerek gövdeyi tutmak yerine tamamını baştan gönderir. Önizleme duyurmak, katı istemcileri kapalı biçimde başarısızlık hatasına kilitler.
• Temiz bir istek için, ağ geçidi Allow: 204 sunduysa çıplak bir 204 döndürülür ve hiç kapsüllenmiş bölüm eklenmez. Bazı ağ geçitleri, bölüm taşıyan bir 204'ü reddeder.
• Yanıt, yöntemle eşleşen bölümü yankılar — istek değişikliği için istek bölümleri, yanıt değişikliği için yanıt bölümleri. Uyuşmazlık, katı ağ geçitlerini kapalı biçimde başarısız kılar.
• Yetenek yanıtı 60 saniye önbelleklenir; yani cihazdaki bir değişiklik bir dakika içinde alınır.

CID222, ICAP hizmet yoluna göre yönlendirme yapmaz. Ağ geçidinizin konsolu hangi yolu isterse istesin — /inspect, /reqmod ya da başka bir şey — aynı hizmete ulaşır.

Üç karar iki giriş biçiminde de aynıdır: isteği olduğu gibi geçirmek, özgününün yerine maskelenmiş bir gövde iletmek ya da reddetmek. Ret durumunda CID222 bir 403 sayfası döndürür ve ağ geçidi ya onu sunar ya da kendi şablonunu koyar.

Dinleyiciyi kim çağırabilir

ICAP dinleyicisi eşini doğrulayamaz. CID222'nin tümleştiği ağ geçidi ürünlerinin hiçbiri denetim profilinde bir kimlik bilgisi ya da özel başlık alanı sunmaz; yani bir eşin gönderebileceği bir şey yoktur. Kabul yalnızca kaynak adrese göredir ve kabul edilen bir eşe, iddia ettiği kimliğe kadar inanılır: dinleyici, her istekteki kimliği doğrulanmış kullanıcı için onun sözüne güvenir. Gerçek denetimi ağ yerleşimi, adres listesini ise ikinci bir kilit olarak görün.

Bir liste, özel adres aralığı varsayılanını genişletmez; onun yerine geçer. Alanın birbirine zıt iki işi vardır: kamusal dış erişim aralıklarından arayan bulut tabanlı bir ağ geçidi için kabulü genişletmek ve özel adres uzayının binadaki her makineyi kabul ettiği bir müşteri ağında kabulü daraltmak. Bu yüzden alan tek bir girdi taşımaya başladığı anda diğer her çağıran reddedilir — bir dakika önce çalışan yerinde ağ geçitleri ve cihazın ana makinesinden çalıştırdığınız her sınama dâhil. Her eşi listeleyin.

Ayarlamadan önce bilinmeye değer diğer davranışlar:

• Girdiler çıplak adresler, CIDR aralıkları ya da IPv6 değişmezleri olabilir. Hiçbir zaman eşleşemeyecek bir girdi — bir ana bilgisayar adı, bir yazım hatası, imkânsız bir önek uzunluğu — kaydederken reddedilir; çünkü yazım hatalarından oluşan bir liste her eşi reddeder ve denetimi devre dışı bırakır.
• Liste önbelleklenir ve her beş dakikada bir, ayrıca bir yönetici kaydettiğinde hemen yenilenir. Başarısız bir yenileme, kimin bağlanabileceğini değiştirmek yerine önceki listeyi korur.
• Denetim, bir bağlantı açıldığında çalışır. Ağ geçitleri ICAP bağlantılarını açık tutar ve yeniden kullanır; bu yüzden listeyi daraltmak, zaten akan trafiği kesmez. Yeni listenin yürürlükte olduğunu varsaymak yerine ağ geçidini yeniden bağlanmaya zorlayın ve günlüğü okuyun.
• Reddedilen bir eş, ICAP yanıtı olmadan kapatılmış bir soket alır ve cihaz, eşi ve onu reddeden kuralı adlandıran bir uyarı günlükler.
• Liste; HTTP denetim uç noktasına, satır içi vekile ve tarayıcı eklentisine kapı tutmaz.

Ağ geçidini bağlayın

nc -zv <appliance-ip> 1344

Olay kime aittir

Kişiyi adlandırabilecek tek şey ağ geçididir ve bunu CID222'nin doğrulayamadığı bir başlıkta yapar. Çözümleme sabit bir sırayla çalışır ve ilk isabet kazanır: ağ geçidinin kimliği doğrulanmış kullanıcı başlığı; kullanıcı kimliği ajanı yapılandırılmışsa gerçek zamanlı bir dizin sorgusu; bir adres aralığını bir etikete eşleyen, panelden yönetilen bir kural; ve son olarak adres dizini olarak kullanılan kayıtlı cihaz filosu. Dördü de ıskaladığında olay kaynak adresini korur ve bir tire gösterir.

Kullanıcı adları kullanılmadan önce normalleştirilir; böylece bir kişinin etki alanıyla nitelenmiş adı, dizin URI biçimi ve kullanıcı asıl adı dört kimliğe değil tek bir kimliğe iner.

Doğrulama

1. Bağlanmasına izin verilen bir ana makineden dinleyicinin yeteneklerini isteyin:

   printf 'OPTIONS icap://test/inspect ICAP/1.0\r\nHost: test\r\n\r\n' | nc -w 2 <appliance-ip> 1344

   Yanıt, yukarıda gösterilen yetenek başlıklarının izlediği ICAP/1.0 200 OK satırıdır. Yanıtsız kapanan bir bağlantı, eş listesinin bu ana makineyi reddettiği anlamına gelir.

2. Ağ geçidinin arkasındaki bir iş istasyonundan bir sağlayıcı sitesi açın ve tanınabilir bir test değeri içeren bir istem gönderin. Sağlayıcı onu maskelenmiş alır ya da tarayıcı bir engelleme sayfası gösterir.

3. Tespit ve Filtreleme → Tüm Tespitler ekranını seçin ve tarayıcı trafiğine göre süzün. Deneme saniyeler içinde MESSAGE_MASKED ya da MESSAGE_BLOCKED olarak; ana bilgisayar adı, kaynak adresi, karar ve — ağ geçidi iletiyorsa — kullanıcı adıyla birlikte görünür.

4. Tarayıcı Denetimi ekranında ağ geçidi, bağlı kaynaklar tablosunda yakın bir zaman damgasıyla görünür. "Ağ geçidi çağırmıyor" ile "ağ geçidi çağırıyor ve hiçbir şey eşleşmedi" durumlarını ayırmanın en hızlı yolu o tablodur.

Başarısız olursa

• Port sınaması başarısız → dinleyici yayımlanmamıştır (ICAP_PUBLISH), araya bir güvenlik duvarı girmiştir ya da ICAP_ENABLED kapatılmıştır.
• Ağ geçidi hizmete erişilemediğini bildiriyor ve cihaz, eşi adlandıran bir reddedilmiş bağlantı günlüklüyor → eş listesi bu ağ geçidini içermiyordur. Listenin, özel adres aralığı varsayılanının yerine geçtiğini unutmayın.
• Her çağıran aynı adresle geliyor ve liste ya hepsini ya hiçbirini kabul ediyor → Her ICAP çağıranı aynı docker köprü adresiyle geliyor.
• Ağ geçidi geçersiz başlık bildiriyor ya da her istekte kapalı biçimde başarısız oluyor → profil bir önizleme duyuruyordur ya da diğer yöntemin kapsüllenmiş bölümlerini bekliyordur. 1344 üzerindeki alışverişi kaydedin ve ağ geçidinin kendi izlemesiyle birlikte gönderin.
• İstemler denetleniyor ama yüklemeler denetlenmiyor → dosya baytlarını taşıyan ana bilgisayar kapsam dışıdır ya da profilin yöntem kümesi yükleme yöntemini dışarıda bırakıyordur.
• Olaylar kullanıcı adı olmadan geliyor → ağ geçidi kimliği doğrulanmış kullanıcı başlığını iletmiyordur. Hizmetin gelişmiş ayarlarından bunu açın ya da bunun yerine adrese göre atıf yapın.

Sonraki adımlar

• FortiProxy ve FortiGate — laboratuvarda uçtan uca doğrulanmış tek tümleşme; bir kabul testi planıyla birlikte.
• Yakalama topolojileri — bu dağıtımın neyi göremediği.
• Satır içi vekili dağıtma — bağlanacak bir ağ geçidi olmadığında geçerli seçenek.