Konfigurieren von Proxyports für nicht standardmäßigen Portverkehr auf dem WSA 1000V

Problem

Ein auf VMware gehosteter WSA 1000V-Proxy verarbeitete den Client-Datenverkehr auf den Ports 80 und 443 ordnungsgemäß, jedoch nicht den Datenverkehr auf nicht standardmäßigen Ports wie Port 8890. Wenn der Zugriff auf ein Ziel über einen nicht standardmäßigen Port ursprünglich von der Richtlinie blockiert wurde, hat die WSA die blockierte Anforderung ordnungsgemäß protokolliert. Nach dem Hinzufügen der IP-Adresse und der URL zu einer Zulassungsrichtlinie ist der Datenverkehr jedoch weiterhin fehlgeschlagen, und auf dem Proxy wurden keine entsprechenden Protokolle generiert. Dieses Verhalten deutete darauf hin, dass der Datenverkehr nach der Erstellung der Zulassungsrichtlinie nicht bei der WSA ankam oder von ihr verarbeitet wurde, was sich auf den Clientzugriff auf Anwendungen über nicht standardmäßige Ports auswirkte.

Umwelt

• Cisco WSA 1000V-Proxy auf VMware gehostet

• Softwareversion 15.0.0

• Der Datenverkehr an den Ports 80 und 443 wird normal verarbeitet.

• Nicht standardmäßiger Port-Datenverkehr (z. B. Port 8890) wird nicht vom Proxy verarbeitet.

• Für betroffene Ziele konfigurierte Richtlinien zulassen.

Auflösung

Das Problem wurde durch die Konfiguration der WSA zur Unterstützung von nicht standardmäßigen Ports in den Identifikationsprofileinstellungen behoben. Die Konfiguration der Proxy-Ports muss aktualisiert werden, um die erforderlichen nicht standardmäßigen Portnummern einzuschließen.

Konfigurationsschritte

Schritt 1: Zugreifen auf die Web Security Manager-Oberfläche

Phase 2: Navigieren Sie zur Konfiguration der Identifikationsprofile.

Navigieren Sie zu Web Security Manager > Identification Profiles.

Schritt 3: Wählen Sie das gewünschte Identifizierungsprofil aus, das eine nicht standardmäßige Port-Unterstützung erfordert.

Schritt 4: Erweitern Sie die Optionen für erweiterte Konfigurationen.

Erweitern Sie auf der Seite für das Identifizierungsprofil die Registerkarte Erweitert.

Schritt 5: Konfigurieren Sie die Einstellung für die Proxyports.

Wählen Sie den Link neben Proxyports aus, um auf die Portkonfiguration zuzugreifen.

Schritt 6: Fügen Sie die erforderlichen nicht standardmäßigen Portnummern hinzu.

Fügen Sie die spezifischen Portnummern hinzu, die die Clients für nicht standardmäßige Portverbindungen verwenden (z. B. 8890).

Schritt 7: Speichern und bestätigen Sie die Konfigurationsänderungen.

Nach der Implementierung dieser Konfigurationsänderungen kann die WSA den Datenverkehr an den angegebenen nicht standardmäßigen Ports verarbeiten und untersuchen, sodass der Proxy Clientverbindungen ordnungsgemäß handhaben und Richtlinien auf den Datenverkehr anwenden kann, der diese Ports verwendet.

Ursache

Die WSA 1000V wurde mit Standard-Proxy-Porteinstellungen konfiguriert, die nur Standard-HTTP- (Port 80) und HTTPS-Ports (Port 443) enthielten. Die Konfiguration der Identifizierungsprofil-Proxyports umfasste nicht die von den Clientanwendungen benötigten nicht standardmäßigen Ports. Ohne die explizite Konfiguration dieser Ports in den erweiterten Einstellungen des Identifikationsprofils war die WSA nicht in der Lage, Datenverkehr mit nicht standardmäßigen Ports abzufangen, zu verarbeiten oder anzuwenden, selbst wenn für die Ziele zulässige Richtlinien konfiguriert wurden.

Verwandte Inhalte

• Technischer Support und Downloads von Cisco