التحقق من ميزة سلوك الالتفاف للوصول الآمن توافق Microsoft 365
المحتويات
مسألة
عند تكوين الوصول الآمن من Cisco باستخدام ميزة التوافق مع Microsoft 365 التي تم تمكينها، هناك عدم يقين حول ما إذا كان يتم تجاوز أسماء مجالات محددة مؤهلة بالكامل (FQDNs) والمتعلقة ب Microsoft تلقائيا من معالجة عبارة الويب الآمنة (SWG) وفك تشفير TLS. وعلى وجه التحديد، هناك حاجة إلى التوضيح فيما يتصل بسلوك التجاوز في هذه المجالات:
do.dsp.mp.microsoft.com
dl.delivery.mp.microsoft.com
manage.microsoft.com
وتتركز المخاوف الأساسية حول ما إذا كانت هذه المجالات تتطلب إضافة يدوية إلى قائمة عدم فك التشفير أو إذا تم استثناؤها تلقائيا عند تمكين توافق Microsoft 365. وبالإضافة إلى ذلك، هناك إرتباك حول التفاعل بين تجاوزات مستوى SWG وإعدادات فك تشفير IPS، وخاصة ل manage.microsoft.com التي تظهر في الوثائق مما يقترح أنه لا يزال من الممكن طلب تكوين قائمة عدم فك التشفير يدويا.
البيئة
- Cisco Secure Access
- تم تمكين ميزة التوافق ل Microsoft 365
- تم تكوين فحص عبارة الويب الآمنة (SWG) وفك تشفير TLS
- سياسات فك تشفير IPS قيد الاستخدام
- خدمات التحديث والإدارة من Microsoft التي تتطلب الاتصال
قرار
تم التحقق من سلوك ميزة التوافق ل Microsoft 365 من خلال الفحص المعملي مع هذه النتائج:
نطاق ميزة التوافق ل Microsoft 365
تعفي ميزة التوافق ل Microsoft 365 المجالات المرتبطة ب Microsoft 365 والتي تم وضع علامة "Optimization" و"Allow" عليها في فئات نقاط النهاية الخاصة ب Microsoft من فحص SWG وإنفاذ النهج. وهذا يسمح لحركة المرور إلى تلك المجالات بالمرور عبر غير المحول في طبقة SWG.
نتائج الفحوصات المخبرية
تم إجراء الاختبار في بيئة معملية خاضعة للتحكم مع تمكين التوافق ل Microsoft 365. تمت ملاحظة هذا السلوك لشبكات FQDN المحددة:
الخطوة 1: تمكين ميزة التوافق ل Microsoft 365
تم تنشيط ميزة "التوافق مع Microsoft 365" في تكوين الوصول الآمن.
الخطوة 2: إختبار حركة المرور إلى FQDNs الهدف
تم إنشاء حركة مرور ويب لكل من شبكات FQDN الثلاثة باستخدام متصفح إنترنت قياسي:
do.dsp.mp.microsoft.com
dl.delivery.mp.microsoft.com
manage.microsoft.com
الخطوة 3: التحقق من سلوك التجاوز في لوحة المعلومات
أكد تحليل لوحة معلومات الوصول الآمن عدم حدوث فحص حركة مرور الويب وفك تشفيرها لحركة المرور إلى هذه الوجهات المحددة عند تمكين ميزة "توافق Microsoft 365".
الخطوة 4: تأكيد سلوك توجيه DNS
واستمر توجيه حركة مرور DNS إلى هذه الوجهات من خلال الوصول الآمن، والذي يتوافق مع السلوك الموثق ما لم يتم تكوين إعفاء DNS محدد.
النتائج السلوكية الرئيسية
استنادا إلى نتائج الاختبار وتحليل التوثيق:
تجاوز SWG: يتم تجاوز شبكات FQDN الثلاث المحددة من فحص حركة مرور الويب عند تمكين توافق Microsoft 365.
فك تشفير TLS: يتم تجاوز فك التشفير في طبقة SWG لهذه المجالات.
توجيه DNS: تستمر معالجة استعلامات DNS من خلال "الوصول الآمن" ما لم يتم إعفاؤها بشكل صريح.
تغطية المجال: لا يتم تجاوز "*.microsoft.com" كمجال بأكمله بواسطة المواصفات، ولكن يتم تجاوز عناوين URL المحددة التي تم إختبارها في الممارسة العملية.
اعتبارات طبقة IPS
تعمل ميزة التوافق ل Microsoft 365 عند طبقة SWG. بالنسبة لتجاوز فك تشفير مستوى IPS، لا يزال من الممكن طلب التكوين اليدوي:
إذا كان إلغاء تشفير IPS مرغوبا أيضا في هذه المجالات، فقد يكون من الضروري إضافة يدوية إلى قائمة عدم فك التشفير.
تؤثر قائمة عدم فك التشفير بشكل أساسي على فك تشفير جانب IPS بدلا من معالجة SWG.
وهذا يفسر لماذا يمكن أن تشير الوثائق إلى إضافة manage.microsoft.com إلى قائمة عدم فك التشفير حتى عند تمكين توافق Microsoft 365.
السبب
وينشأ الارتباك من البنية متعددة الطبقات ل Cisco Secure Access، حيث يؤثر التوافق مع Microsoft 365 على المعالجة على مستوى SWG، بينما يعمل فك تشفير IPS كطبقة مستقلة بمتطلبات التكوين الخاصة بها. تقوم ميزة التوافق Microsoft 365 تلقائيا بمعالجة تجاوز SWG للمجالات المؤهلة من Microsoft، ولكن يمكن أن تتطلب سياسات فك تشفير IPS تكوينا منفصلا من خلال قائمة عدم فك التشفير.
المحتوى ذي الصلة
محفوظات المراجعة
| المراجعة | تاريخ النشر | التعليقات |
|---|---|---|
1.0 |
04-Nov-2026
|
الإصدار الأولي |
التعليقات