Inleiding
Dit document beschrijft een probleem dat zich op de Cisco Web Security Applicatie (WSA) voordoet wanneer de pagina's Waarschuwing, Bevestiging of Kennisgeving aan eindgebruiker (EUN) niet correct voor expliciete HTTPS-verzoeken worden weergegeven. Er is ook een tijdelijke oplossing voor dit probleem.
Voorwaarden
Vereisten
De informatie in dit document gaat ervan uit dat:
- De WSA-proxyadressen worden in Expliciete modus geïmplementeerd.
- De HTTPS-verzoeken worden geblokkeerd, gewaarschuwd of vereisen een gebruikersbevestiging.
Gebruikte componenten
De informatie in dit document is gebaseerd op Cisco WAAS.
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.
Probleem
De pagina's Waarschuwing, Bevestiging of Hulp worden niet correct weergegeven voor expliciete HTTPS-verzoeken. De browser geeft een onvolledige meldingspagina weer of geeft de pagina helemaal niet weer en geeft in plaats daarvan een foutpagina weer.
Er zijn verschillende problemen die deze pagina's omringen wanneer u expliciete HTTPS-verzoeken gebruikt. Wanneer u uw browser configureert om een proxy te gebruiken, wordt HTTPS-verkeer via HTTP naar de WSA geleid. Dit verzoek is opgemaakt als een HTTPS via HTTP.
Er zijn twee bekende problemen met browsers die niet correct omgaan met de HTTP-antwoorden die de WSA teruggeeft voor expliciete HTTPS-verzoeken. Wanneer een expliciet HTTPS-verzoek wordt geblokkeerd, gewaarschuwd of gebruikersbevestiging vereist, geeft de WSA een 403-statuscode terug. Binnen dit antwoord, omvat de WSA de berichtinhoud die normaal op het scherm zou moeten worden weergegeven zodat het zichtbaar is. In sommige gevallen kan de browser het antwoord echter niet begrijpen binnen de geretourneerde inhoud.
Dit is het browsergedrag dat wordt waargenomen:
- Wanneer Internet Explorer versie 6 (IE6) en sommige versies van IE7 worden gebruikt, geven deze verzoeken niet de volledige inhoud van het HTML-antwoord weer. De browser honoreert alleen de eerste paar bytes (de inhoud binnen het eerste pakket) en negeert de rest. In dergelijke gevallen ziet u een onvolledige pagina die slechts een paar tekens toont.
Opmerking: als dit probleem zich voordoet, raadt Cisco u aan de standaardkennisgevingspagina te verkleinen uit het antwoord van de WSA. Voor meer informatie over het bewerken van uw EUN-pagina, raadpleegt u de sectie Bewerken IronPort Notification Pages van de WSA-gebruikershandleiding.
- Wanneer IE8 en nieuwere versies van Mozilla Firefox release 3 worden gebruikt, negeert de browser het antwoord dat de WSA teruggeeft en maskeert met zijn eigen foutpagina. Dit browsergedrag verslaat het doel van de 403-melding en veroorzaakt verstoring van de functie.
Oplossing
In deze sectie wordt beschreven hoe het proces verloopt wanneer HTTPS-decryptie is ingeschakeld op de WSA. Als tijdelijke oplossing voor het eerder beschreven probleem gebruikt u de verstrekte informatie om er zeker van te zijn dat uw systeem correct is geconfigureerd.
Hier is een voorbeeld van de verkeersstroom wanneer een expliciet HTTPS-verzoek wordt verzonden:
- Wanneer HTTPS-decryptie is ingeschakeld, valideert de WSA eerst het verzoek tegen het decryptie-beleid.
- Als het verzoek voor PASSTHROUGH is gemarkeerd, mag het verkeer erdoor (geen waarschuwing of EUN).
- Als het verzoek als DECRYPTED wordt gemarkeerd, dan wordt het verzoek gevalideerd tegen het beleid van de Toegang. In dit geval, als het toegangsbeleid is geconfigureerd om te WAARSCHUWEN of BLOKKEREN, dan wordt de EUN-pagina correct weergegeven. Helaas, voor bevestiging moet de gebruiker navigeren naar de HTTP-pagina en Bevestigen, die navigatie vereist door de proxy en vervolgens naar de HTTPS-site.
- De WSA herinnert zich het IP-adres van de client en vereist geen nieuwe bevestiging totdat de timer verloopt.
Feedback