Bulut tabanlı bir Zscaler kiracısını genel bir uç nokta, bir hizmet bağlayıcısı ya da bir tünel üzerinden CID222'ye bağlayın ve dış erişim aralıklarını kabul edin.

Zscaler bulut tabanlıdır ve bu, olağan ağ modelini tersine çevirir: denetim hizmeti, sizin denetiminizdeki bir ağda ağ geçidinin yanında durmaz — Zscaler'ın bulutu sizin cihazınızı arar. Bu durum, CID222'yi nasıl açacağınıza ve çağıranın kimliğini nasıl doğrulayacağınıza dair her şeyi belirler.

Neye ihtiyacım var?

Lisans: Herhangi biri
Rol: admin_user

Ön koşullar

Web güvenliği katmanına sahip bir Zscaler Internet Access kiracısı ve konsoluna yönetici erişimi.
Bulutun cihaza nasıl ulaşacağına dair bir karar: genel bir ad, ağınızın içinde bir Zscaler hizmet bağlayıcısı ya da siteden siteye bir tünel.
Genel seçenek için cihazda düzenlenmiş bir ağ geçidi API anahtarı ve cihazın HTTPS ön yüzünde bir sertifika.
Veri merkezleriniz için Zscaler'ın yayımlanmış dış erişim aralıkları.
Cihaz genelindeki denetim politikasını kaydetmek superadmin hesabını gerektirir.

Warning

Zscaler'ın kendi belgelerinden ve CID222 denetim sözleşmesinden yazılmıştır. Canlı bir Zscaler kiracısına karşı doğrulanmamıştır. Konsol yolları bir döküm değil, doğru ekrana giden bir yol göstericidir.

Bulutun cihaza nasıl ulaşacağını seçin

Cihazın kararlı bir genel adı vardır ve Zscaler, HTTP denetim uç noktasını HTTPS üzerinden POST /inspect/v1/<hostname> adresinden arar.

Genel kenardan gelen anahtarsız bir çağrı reddedilir. Zscaler, taşıyıcı jeton olarak bir ağ geçidi API anahtarı sunmalıdır; cihazın kenarı, kendisinden geçen her isteği damgalar; yani ağ konumu anahtarın yerini tutamaz.

Ek bir kısıt için cihazın HTTPS ön yüzünün bir istemci sertifikasını doğrulamasını ve konu adını iletmesini sağlayın, sonra denetim politikasında mTLS client subject DN alanını ayarlayın. Önce ön yüzü kurun: bir konu adı yapılandırıldığında, tarayıcı eklentisi dâhil denetim uç noktasının her çağıranı eşleşen bir konu adı sunmak zorundadır.

Kiracıyı yapılandırın

CID222'yi denetim sunucusu olarak ekleyin

Konsolun veri sızıntısı önleme kaynaklarında, yukarıda seçtiğiniz adresi gösteren bir sunucu ekleyin — genel seçenek için HTTPS uç noktası, bağlayıcı ya da tünel için icap://<address>:1344/inspect — ve bağlantı sınırını yükseltin; çünkü bir bulut kiracısı bağlantı sayısını hızla artırabilir.

Yapay zeka kategorisine bağlayın

Web veri sızıntısı önleme politikasında, Zscaler'ın merkezî olarak bakımını yaptığı yapay zeka kategorisiyle eşleşen ve eylemi isteği o sunucuya göndermek olan bir kural ekleyin.

Kategorinin önemsediğiniz ana bilgisayar adlarını tuttuğunu doğrulayın ve tutmadığı yerde özel bir kategoriyle genişletin.

Zscaler'ın dış erişim aralıklarını kabul edin

Tespit ve Filtreleme → Tarayıcı Denetimi ekranını seçin ve veri merkezlerinizin dış erişim aralıklarını Allowed ICAP peer IPs / CIDRs alanına ekleyin. Save policy düğmesini seçin.

Panel Inspection policy updated bildirir. Bu yolla bir genel aralık eklemek, özel adres aralığı varsayılanını kaldırır; bu yüzden her yerinde eşi ve test ana makinesini aynı düzenlemede listeleyin, yoksa kabul edilmeyi keserler.

Zaman aşımını buluta gidiş dönüşe göre boyutlandırın

Inspection timeout (ms) değerini, bulut gidiş dönüşünün size bıraktığı bütçe içinde bir karar dönecek biçimde düşürün ve kiracının arıza eylemini Fail closed (BLOCK) on timeout ayarıyla eşleştirin.

Denetim eşzamanlıdır ve arka planda hiçbir iş çalıştırmaz; bu yüzden zaman aşımı bir hedef değil, tüm denetim için katı bir tavandır.

Doğrulama

Trafiğini kiracının ilettiği bir iş istasyonundan bir test tanımlayıcısı içeren bir istem gönderin. Model onu maskelenmiş alır ya da tarayıcı bir engelleme sayfası gösterir.
Tespit ve Filtreleme → Tüm Tespitler ekranını seçin ve tarayıcı trafiğine göre süzün. Deneme, Zscaler'ın kimlik sağlayıcınızdan ilettiği kimliği taşıyarak MESSAGE_MASKED ya da MESSAGE_BLOCKED olarak görünür.
Tarayıcı Denetimi ekranında kiracı, bağlı kaynaklar tablosunda görünür.

Başarısız olursa

Kiracı sunucuya erişilemediğini bildiriyor ve cihaz hiçbir şey günlüklemiyor → çağrı hiç ulaşmıyordur. Her şeyden önce ad çözümlemesini ve cihazın HTTPS ön yüzündeki sertifikayı denetleyin.
Cihaz bir yetkilendirme hatasıyla yanıt veriyor → çağrı bir ağ geçidi API anahtarı taşımıyordur ya da politikada bir konu adı yapılandırılmıştır ve ön yüz bir konu adı iletmiyordur.
Günlükte genel bir adresi adlandıran retler görünüyor → o aralık eş listesinde değildir.
İstekler yük altında zaman aşımına uğruyor → bağlantı sınırı ya da denetim zaman aşımı, gidiş dönüş için fazla dardır.

Sonraki adımlar

Netskope NewEdge — HTTP denetim uç noktasının istek ve yanıt biçimleri, tam olarak belgelenmiş hâliyle.
ICAP ve üçüncü taraf ağ geçitleri — sözleşme ve kabul kuralları.

Zscaler Internet Access