المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

تثبيت SWA

الإعداد الأولي

تكوين عنوان IP

تكوين البوابة الافتراضية

إستيراد الترخيص التقليدي

تكوين خادم DNS

تكوين الترخيص الذكي

معالج إعداد النظام

تكوين الشبكة

جدول التوجيه

معلومات ذات صلة

المقدمة

يصف هذا المستند الخطوات المطلوبة لتكوين جهاز الويب الآمن (SWA) لأول مرة.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- أداره /سوا/.

- مبادئ الربط الشبكي الأساسية.

توصي Cisco بأن يكون لديك:

- تم تثبيت SWA المادية أو الافتراضية.

- الوصول الإداري إلى واجهة المستخدم الرسومية (GUI) ل SWA.

- الوصول الإداري إلى واجهة سطر أوامر SWA (CLI).

- الوصول الإداري إلى وحدة تحكم SWA.

- ترخيص SWA صالح أو الوصول إلى مدخل إدارة الترخيص الذكي (في حالة إستخدام الترخيص الذكي).

المكونات المستخدمة

لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

تثبيت SWA

تعد SWA من Cisco حل وكيل إعادة توجيه تم تصميمه لتعزيز أمان الويب والتحكم للمؤسسات. وتوفر هذه الخدمة، المتوفرة في الأشكال الافتراضية والمادية على حد سواء، خيارات نشر مرنة لتلبية الاحتياجات المتنوعة. تدعم تقنية إدارة الاتصال (SWA) الافتراضية العديد من الأنظمة الأساسية لبرنامج Hypervisor، بما في ذلك برنامج Hyper-V من Microsoft و VMware ESX و KVM، مما يضمن التوافق مع مجموعة من البيئات الافتراضية. بالنسبة لمن يفضلون جهاز مادي، توفر Cisco ثلاثة نماذج متميزة: S100 و S300 و S600. وقد تم تصميم كل طراز لتلبية مختلف مستويات الأداء ومتطلبات السعة، مما يضمن إمكانية أن تجد المؤسسات القدرة على تلبية الاحتياجات الخاصة لأمان الويب.

لتنزيل صورة الجهاز الظاهري، يمكنك زيارة الموقع https://software.cisco.com/download/home .

يعد تثبيت وحدة الوصول (SWA) الافتراضية من Cisco عملية مباشرة تبدأ بتحديد نظام مراقبة الأجهزة الافتراضية المناسب. أولا، قم بتنزيل ملف تثبيت SWA الظاهري من موقع Cisco على الويب. بالنسبة لبرنامج VMware ESX، قم بنشر ملف OVA، مما يضمن تكوين إعدادات الشبكة وتخصيص الموارد الكافية مثل وحدة المعالجة المركزية (CPU) والذاكرة والتخزين. بالنسبة لبرنامج Hyper-V من Microsoft، قم باستيراد ملف VHD الذي تم تنزيله إلى برنامج Hyper-V Manager، ثم قم بتكوين إعدادات الجهاز الظاهري وفقا لذلك. بالنسبة ل KVM، أستخدم أداة سطر الأوامر virt-manager أو virsh لتحديد الجهاز الظاهري وتشغيله باستخدام الصورة التي تم تنزيلها. بمجرد تشغيل الجهاز الظاهري وتشغيله، يمكنك إستخدام الخطوات الواردة في هذه المقالة للقيام بالإعداد الأولي.

الإعداد الأولي

بعد تثبيت وحدة SWA، استمر في تنفيذ هذه الخطوات للنشر الأولي.

ملاحظة: بالنسبة للإعداد الأولي، يلزمك الوصول إلى SWA عبر وحدة التحكم و SSH و GUI.

أسلوب الاتصال

مرحلة

خطوات التكوين

console

تكوين عنوان IP

الخطوة 1. دخلت ال username وكلمة أن يدون داخل ال CLI.

تلميح: اسم المستخدم الافتراضي هو admin وكلمة المرور الافتراضية هي ironPort.

الصورة - شاشة تسجيل الدخول

الخطوة 2. قم بتشغيل ifconfig.

الخطوة 3. أختر تحرير.

الخطوة 4. أدخل الرقم المرتبط بواجهة الإدارة لديك.

الخطوة 5. حدد Y لتحرير عنوان IPv4 الافتراضي.

الخطوة 6. أدخل عنوان IP

الخطوة 7. أدخل قناع الشبكة الفرعية.

الصورة - تحرير عنوان IP لواجهة الإدارة

الخطوة 8. إذا كنت ترغب في تكوين IPv6، فاكتب Y في الإجابة على السؤال "هل ترغب في تكوين IPv6؟"، وإلا يمكنك ترك هذا كافتراضي (No) والضغط على مفتاح الإدخال Enter.

الخطوة 9. أدخل اسم مجال مؤهل بالكامل (FQDN) كاسم المضيف.

الخطوة 10. إذا كنت ترغب في تمكين وصول بروتوكول نقل الملفات (FTP) إلى واجهة الإدارة، أختر Y، أو اضغط على Enter.

الخطوة 11. يتم تعيين "طبقة الأمان" (SSH) إلى "ممكن" بشكل افتراضي. ينصح بتمكين SSH. اكتب Y للمتابعة.

الخطوة 12. (إختياري) يمكنك تغيير منفذ SSH الافتراضي من TCP 22 إلى أي رقم منفذ تريده طالما لا يوجد تعارض منافذ آخر، اضغط على مفتاح الإدخال لاستخدام المنفذ الافتراضي (TCP/22).

الخطوة 13. إذا كنت ترغب في أن يكون لديك وصول لبروتوكول نقل النص التشعبي (HTTP) إلى واجهة الإدارة، فاكتب Y وحدد رقم المنفذ للوصول إلى HTTP. وإلا، يمكنك إختيار N ليكون لديك حق الوصول الآمن لبروتوكول نقل النص التشعبي (HTTPS) إلى واجهة الإدارة فقط.

الخطوة 14. اكتب y واضغط enter لتمكين وصول HTTPS إلى واجهة الإدارة.

الخطوة 15. أنت يستطيع غيرت التقصير HTTPS ميناء رقم من 8443 إلى أي ميناء رقم أنت تريد بما أن هناك ما من ميناء تعارض آخر، اضغط يدخل أن يستعمل التقصير ميناء (TCP/8443).

الخطوة 16. يتم تعيين واجهة برمجة التطبيقات (API) بشكل افتراضي إلى تمكين، إذا لم تكن تستخدم API، فيمكنك تعطيل API بكتابة N والضغط على Enter.

الخطوة 17. إن يختار أنت أن يكون ال API يمكن، أنت يستطيع غيرت التقصير API رقم أيسر من 6080 إلى أي رقم أيسر أنت تريد طالما هناك ما من أيسر تعارض آخر، اضغط يدخل أن يستعمل التقصير ميناء (TCP/6080).

الصورة - تكوين خدمة واجهة الإدارة

الخطوة 18. AsyncOS API (المراقبة) هي واجهة المستخدم الرسومية الجديدة على SWA، إذا كنت ترغب في إستخدام تقارير واجهة المستخدم الجديدة، فعليك تعيين هذا الخيار على Y (الافتراضي)، وإلا يمكنك كتابة N والتخطي إلى الخطوة 20

الخطوة 19. أنت يستطيع غيرت التقصير جديد gui https ميناء رقم من 6443 إلى أي ميناء رقم أنت تريد طالما أن هناك ما من ميناء تعارض آخر، صحافة يدخل أن يستعمل التقصير ميناء (TCP/6443).

الخطوة 20. تستخدم واجهة إدارة SWA شهادة العرض التوضيحي من Cisco. اكتب Y لقبول شهادة العرض التوضيحي. يمكنك تغيير شهادة واجهة المستخدم الرسومية (GUI) بعد الإعداد الأولي.

الخطوة 21. اضغط على Enter للخروج من معالج ifconfig.

الصورة - تكوين TCP جديد لواجهة المستخدم الرسومية

تكوين البوابة الافتراضية

الخطوة 22. قم بتشغيل setGateway.

الخطوة 23. أختر IPv4 إذا تم تكوين واجهة الإدارة الخاصة بك باستخدام IPv4، وإلا أختر IPv6.

الخطوة 24. أدخل عنوان IP للعبارة الافتراضية الخاصة بك.

الخطوة 25. احفظ التغييرات عن طريق تشغيل الالتزام.

الخطوة 26. (إختياري) يمكنك إضافة ملاحظات حول التغييرات التي تقوم بحفظها

الخطوة 27. (إختياري) يمكنك الحصول على SWA لإجراء نسخ إحتياطي للتكوين قبل تطبيق التغييرات.

صورة - تكوين البوابة الافتراضية

بروتوكول النقل الآمن (SSH)

إستيراد الترخيص التقليدي

ملاحظة: إذا كنت تستخدم "ترخيص ذكي"، فانتقل إلى الخطوة 36.

الخطوة 28. الاتصال ب SWA عبر SSH.

الخطوة 29. تشغيل LoadLicense

الخطوة 30. أختر لصق عبر واجهة سطر الأوامر.

الخطوة 31. افتح ملف الترخيص الخاص بك باستخدام محرر نصي. وانسخ كل محتوياته

الخطوة 32. الصق الترخيص في طبقة SSH.

الخطوة 33. اضغط على Enter للانتقال إلى سطر جديد.

الخطوة 34. أمسك عنصر التحكم واضغط D.

الخطوة 35. اقرأ إتفاقية الترخيص واكتب نعم للموافقة على الشروط.

الصورة - إستيراد الترخيص التقليدي

التخطي إلى الخطوة 58.

واجهة المستخدم الرسومية

تكوين خادم DNS

الخطوة 37. سجل الدخول إلى واجهة المستخدم الرسومية (التقصير هو HTTPS://<SWA FQDN أو عنوان IP>:8443)

الخطوة 38. انتقل إلى الشبكة واختر DNS.

الخطوة 39. طقطقة يحرر عملية إعداد.

الخطوة 40. في قسم خوادم DNS الأساسية، حدد إستخدام خوادم DNS هذه.

الخطوة 41. قم بتعيين الأولوية على 0 وأدخل عنوان IP لخادم DNS الخاص بك.

ملاحظة: يمكنك إضافة أكثر من خادم DNS باختيار إضافة صف.

الخطوة 42. إرسال.

الخطوة 43. قم بتنفيذ التغييرات.

الصورة - تكوين خادم DNS

تكوين الترخيص الذكي

الخطوة 44. في واجهة المستخدم الرسومية من إدارة النظام، أختر ترخيص البرامج الذكية.

الخطوة 45. أختر ترخيص برامج EnableSmart.

تحذير: لا يمكنك الرجوع من "الترخيص الذكي" إلى "الترخيص الكلاسيكي"، بعد تمكين ميزة "الترخيص الذكي" على الجهاز.

الخطوة 46. انقر على موافق لمتابعة تكوين الترخيص الذكي.

الخطوة 47. قم بتنفيذ التغييرات.

الخطوة 48. للحصول على الرمز المميز لتسجيل SWA، سجل الدخول إلى Cisco Software Central (https://software.cisco.com/#)

الخطوة 49. انقر فوق إدارة التراخيص.

الصورة - إدارة الترخيص الذكي من Cisco

الخطوة 50. في ترخيص البرامج الذكية أختر جرد.

الخطوة 51. في علامة التبويب عام، قم بإنشاء رمز مميز جديد أو أستخدم العلامات المميزة المتاحة.

الصورة - صفحة جرد ترخيص برنامج Smart

الخطوة 52. أدخل المعلومات المطلوبة وقم بإنشاء رمز مميز.

صورة - إنشاء رمز مميز

الخطوة 53. انقر فوق الرمز الأزرق أمام الرمز المميز الذي تمت إضافته حديثا وانسخ محتواه.

صورة - نسخ الرمز المميز

الخطوة 54. في واجهة المستخدم الرسومية SWA، انتقل إلى إدارة النظام واختر ترخيص البرامج الذكية.

ملاحظة: إذا كنت بالفعل على صفحة ترخيص البرامج الذكية، فيرجى تحديث الصفحة.

الخطوة 55. (إختياري) إذا لم يكن ل SWA أي وصول إلى الإنترنت من واجهة الإدارة، فيمكنك تغيير واجهة الاختبار إلى الواجهات المسموح لها بالوصول إلى الإنترنت.

تلميح: للحصول على مزيد من المعلومات حول جداول تكوين الواجهة المتعددة والتوجيه، الرجاء التحقق من قسم "تكوين الشبكة" في هذه المقالة.

الخطوة 56. طقطقة سجل.

الخطوة 57. الصق الرمز المميز وانقر فوق تسجيل.

الصورة - تسجيل SWA إلى الترخيص الذكي

ملاحظة: للتحقق من تسجيلك، انتظر دقيقتين، ثم قم بتحديث صفحة الترخيص الذكي في SWA، ثم تحقق من حالة التسجيل.

الصورة - حالة تسجيل الترخيص الذكي

معالج إعداد النظام

الخطوة 58. في واجهة المستخدم الرسومية SWA، انتقل إلى إدارة النظام واختر معالج إعداد النظام.

الخطوة 59. قراءة شروط إتفاقية الترخيص هذه وقبولها

الخطوة 60. انقر على بدء الإعداد.

الخطوة 61. اختَر وفقا للمقياس الوارد في قسم وضع العملية للجهاز.

الخطوة 62. أدخل اسم مضيف النظام الافتراضي.

ملاحظة: اسم المضيف السابق الذي تم إنشاؤه في الخطوة 9 كان مرتبطا بواجهة الإدارة وليس SWA.

الخطوة 63. أدخل عنوان IP لخادم (خوادم) DNS.

الخطوة 64. يمكنك تكوين خادم بروتوكول وقت الشبكة (NTP).

تلميح: إذا كان خادم NTP يتطلب المصادقة، فيمكنك تكوين معلمات المفاتيح.

الخطوة 65. حدد المنطقة الزمنية التي تنطبق على SWA وانقر بعد ذلك.

الصورة - معالج إعداد النظام - إعدادات النظام

الخطوة 66. (إختياري) إذا كنت تستخدم أي وكيل للتدفق في شبكتك، فيمكنك تكوينها على صفحة سياق الشبكة أو تركها كإعداد افتراضي ثم انقر على التالي.

الصورة - معالج إعداد النظام - تكوين وكيل UpStream

الخطوة 67. (إختياري) في حالة إحتياجك لفصل حركة مرور بيانات الإدارة في الواجهة عن حركة مرور واجهات البيانات (واجهات P1 و P2)، حدد إستخدام المنفذ M1 للإدارة فقط.

الخطوة 68. (إختياري) يمكنك إضافة أو تعديل عنوان IP لواجهات الشبكة من قسم عنوان IPv4 / قناع الشبكة أو عنوان IPv6 / قناع الشبكة.

الخطوة 69. (إختياري) يمكنك إضافة اسم المضيف لواجهات الشبكة أو تعديله وانقر فوق التالي.

ملاحظة: يمكن تمكين المنفذ P1 وتكوينه من خلال معالج إعداد النظام. إذا كنت ترغب في تمكين واجهة P2، فيجب القيام بذلك بعد إكمال معالج إعداد النظام.

الصورة - معالج إعداد النظام - تكوين واجهات الشبكة

الخطوة 70. (إختياري) في حالة ما إذا كنت تخطط لتكوين شاشة حركة مرور الطبقة 4 (L4TM)، يمكنك تكوين إعداد الإرسال ثنائي الإتجاه، أو إذا كنت تريد الخروج كإعداد افتراضي وانقر فوق التالي.

الصورة - معالج إعداد النظام - إعداد مراقبة حركة مرور البيانات من المستوى الرابع

الخطوة 71. (إختياري) في صفحة مسارات الإصدار الرابع من بروتوكول الإنترنت (IP) للإدارة يمكنك تعديل البوابة الافتراضية

الخطوة 72. (إختياري) يمكنك إضافة مسار لإنشاء مسارات ثابتة.

ملاحظة: في حالة إختيار إستخدام المنفذ M1 للإدارة فقط" في الخطوة 67، سيكون هناك جدولا توجيه منفصلان لواجهة الإدارة وواجهات البيانات (P1 و P2).

الصورة - معالج إعداد النظام - إضافة مسار

الخطوة 73. (إختياري) إذا كنت ترغب في إعداد نشر وكيل شفاف، من خلال بروتوكول إتصالات ذاكرة التخزين المؤقت للويب (WCCP)، فيمكنك تكوين إعدادات WCCP، أو يمكنك أيضا ترك محول الطبقة 4 الافتراضي أو عدم وجود جهاز وانقر التالي.

الصورة - معالج إعداد النظام - تكوين نشر الوكيل

الخطوة 74. قم بإعداد كلمة مرور جديدة لحساب المسؤول.

الخطوة 75. أدخل عنوان بريد إلكتروني من المتوقع أن يتلقى تنبيهات النظام.

الخطوة 76. (إختياري) توفر معلومات مضيف ترحيل البروتوكول البسيط لنقل رسائل البريد (SMTP)، وإلا أتركها فارغة إذا لم يتم تحديد أي مضيف ترحيل داخلي، يستخدم SMTP البحث DNS عن سجل MX.

الخطوة 77. (إختياري) إذا كنت ترغب في تعطيل المشاركة في شبكة Cisco SensorBase، فقم بإلغاء تحديد خانة الاختيار مشاركة الشبكة أو إذا كنت تريد الخروج كإعداد افتراضي وانقر فوق التالي.

ملاحظة: المشاركة في شبكة SensorBase من Cisco تعني أن Cisco تجمع البيانات وتشاركها مع قاعدة بيانات إدارة التهديدات SensorBase.

الصورة - معالج إعداد النظام - الإعدادات الإدارية

الخطوة 78. (إختياري) يمكنك تغيير الإجراءات الافتراضية للنهج العام، L4TM، وتصفية أمان البيانات من Cisco، أو يمكنك تركها بشكل افتراضي وانقر فوق التالي.

الصورة - معالج إعداد النظام - إعدادات الأمان

الخطوة 79. راجع التكوين الخاص بك. إذا كنت بحاجة إلى إجراء تغييرات، فانقر فوق الزر السابق للعودة إلى الصفحة السابقة، أو انقر فوق تثبيت هذا التكوين.

تكوين الشبكة

لتكوين واجهة الشبكة، يمكنك إستخدام كل من CLI أو GUI.

الأمر / المسار

الإجراء

تكوين بطاقات واجهة الشبكة من CLI

cli >ifconfig

جديد: إذا لم تكن الواجهة مدرجة في إخراج ifconfig، ولكنها موجودة في الجهاز الظاهري أو الجهاز المادي، فيمكنك إستخدام هذا الأمر لإظهار الواجهة في القائمة.

التحرير: الغرض من هذا الإجراء هو تحرير عنوان IP أو قناع الشبكة الفرعية أو اسم مضيف الواجهة أو المعلمات الأخرى ذات الصلة.

التفاصيل: إظهار تفاصيل واجهة، مثل عنوان MAC ونوع الوسائط ووضع الإرسال ثنائي الإتجاه وما إلى ذلك.

الحذف: يزيل الواجهة من قائمة ifconfig، ويزيل عنوان IP إذا تم تعيينه مسبقا.

تكوين بطاقات واجهة الشبكة من GUI

واجهة المستخدم الرسومية >الشبكة > الواجهات

يمكنك تحرير عنوان IP للواجهة واسم المضيف.

أنت يستطيع مكنت، أعجزت أو عدلت الرقم أيسر من ال

خدمات إدارة الجهاز مثل FTP و SSH و HTTP والوصول إلى HTTPS.

جدول التوجيه

تعد المسارات ضرورية لتحديد مكان توجيه حركة مرور الشبكة. تتعامل SWA مع أنواع حركة المرور التالية:

- حركة مرور البيانات: يتضمن ذلك حركة مرور البيانات التي تتم معالجتها بواسطة وكيل ويب من المستخدمين النهائيين الذين يقومون بتصفح الإنترنت.

- حركة مرور الإدارة: يتضمن ذلك حركة مرور البيانات التي يتم إنشاؤها بواسطة إدارة الجهاز عبر واجهة الويب، بالإضافة إلى حركة مرور البيانات لخدمات الإدارة مثل ترقيات SWA وتحديثات المكونات و DNS والمصادقة والمهام الأخرى ذات الصلة.

وبشكل افتراضي، يستخدم كلا النوعين من حركة المرور المسارات المحددة لجميع واجهات الشبكة التي تم تكوينها. ومع ذلك، لديك الخيار لفصل التوجيه بحيث تستخدم حركة مرور الإدارة جدول توجيه إدارة مخصصا وتستخدم حركة مرور البيانات جدول توجيه بيانات منفصل.

إدارة حركة المرور

حركة مرور البيانات

WebUI

بروتوكول النقل الآمن (SSH)

SNMP

المصادقة، باستخدام وحدة التحكم بالمجال (قابلة للتكوين)

Syslogs

دفع FTP

DNS (قابل للتكوين)

مفتاح التحديث/الترقية/الميزة (قابل للتكوين)

وكيل HTTP

وكيل HTTPS

وكيل FTP

تفاوض WCCP

طلب ICAP مع خادم DLP خارجي

DNS (قابل للتكوين)

مفتاح التحديث/الترقية/الميزة (قابل للتكوين)

المصادقة باستخدام وحدة التحكم بالمجال (قابلة للتكوين)

ملاحظة: إذا حددت الخيار "إستخدام المنفذ M1 للإدارة فقط"، تتم إضافة جدول توجيه إضافي يسمى جدول توجيه البيانات إلى SWA. يحتوي جدول التوجيه هذا على بوابة افتراضية واحدة قابلة للتكوين فقط، ويجب تكوين أي مسارات توجيه إضافية يدويا.

معلومات ذات صلة

- دليل المستخدم ل AsyncOS 15.2 ل Cisco Secure Web Appliance

- دليل تثبيت الجهاز الظاهري والبريد الإلكتروني الآمن من Cisco

- تكوين فئات عنوان URL المخصصة في جهاز ويب الآمن - Cisco

- إستخدام أفضل ممارسات جهاز الويب الآمن

- تكوين جدار الحماية لجهاز ويب الآمن

- تكوين شهادة فك التشفير في جهاز ويب الآمن

- تكوين SNMP واستكشاف أخطائه وإصلاحها في SWA

- تكوين سجلات دفع SCP في جهاز ويب الآمن باستخدام خادم Microsoft

- تمكين قناة/فيديو محددة على موقع YouTube ومنع بقية YouTube في SWA

- فهم تنسيق HTTPS AccessLog في جهاز ويب الآمن

- Access Secure Web Appliance Log

- تجاوز المصادقة في جهاز ويب الآمن

- حظر حركة المرور في جهاز ويب الآمن

- تجاوز حركة مرور تحديثات Microsoft في جهاز ويب الآمن