IP-Persistenz im sicheren Web-Gateway

Einleitung

In diesem Dokument wird Persistent IP im Cisco Secure Web Gateway (SWG) beschrieben.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Secure Web Gateway.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Überblick

Der Datenverkehr des Secure Web Gateway (SWG) wird auf eine Reihe von Proxyinstanzen mit unterschiedlichen IP-Adressen verteilt.  Seit Februar 2022 bietet die SWG jedoch eine konsistente Ausgangs-IP-Adresse für alle ausgehenden Webanfragen, die als Persistent IP (Persistente IP) bezeichnet wird.

Persistent IP gilt jetzt für (fast) den gesamten Web-Datenverkehr. Diese Funktion verringert mögliche Probleme, die auftreten können, wenn Websites die Quell-IP-Adresse im Rahmen der Sitzung nachverfolgen.

Anmerkung: Persistent IP ist derzeit nicht für Datenverkehr verfügbar, der Umbrella's Remote Browser Isolation feature (RBI) verwendet. Dies gilt nur, wenn die Aktion "Isolieren" für eine Regel in Ihrer Webrichtlinie konfiguriert ist.

Ausgangs-IP-Bereich

Mit der Einführung dieser Funktion verwendet die SWG jetzt einen neuen IP-Adressbereich für den Ausgang. Einzelheiten zum IP-Adressbereich, der von Umbrella SWG verwendet wird, finden Sie in diesem Artikel.

Probleme mit der IP-Persistenz

Eine Website kann die Quell-IP-Adresse des Benutzers zusammen mit der zugehörigen Sitzung speichern.  Normalerweise (aber nicht immer) umfasst dies Websites, die Anmeldeinformationen benötigen, und die Quell-IP wird ebenfalls "validiert", um zu überprüfen, ob die Sitzung noch gültig ist. Eine persistente IP ist auch für Websites erforderlich, die die TLS-Sitzungswiederaufnahme verwenden (rfc5077).

Wenn keine persistente IP-Adresse verwendet wird, können sich diese Websites unerwartet verhalten und sich gelegentlich vom Benutzer "abmelden" oder unregelmäßig Fehlermeldungen anzeigen.

Umbrella SWG Website-Kompatibilität 

Wenn Sie der Meinung sind, dass auf einer Website Probleme im Zusammenhang mit der IP-Persistenz auftreten, überprüfen Sie bitte Folgendes:

• Überprüfen Sie, ob die Kategorie/Anwendung/das Ziel in Ihrer Webrichtlinie der Aktion "Isolieren" unterliegt. Überprüfen Sie, ob das Problem auch ohne die Remote-Browser-Isolierung auftritt. Für diesen Datenverkehr wird die Funktion "Persistent IP" nicht verwendet.
• Wenden Sie sich an den Umbrella Support, um Ihre Organisationseinstellungen zu überprüfen.  Eine kleine Anzahl von Kunden hat die Funktion "Persistent IP" vorübergehend deaktiviert, um Zeit für die Berücksichtigung des neuen IP-Bereichs zu gewinnen.

Zusätzliche Informationen

• Sie müssen keine Maßnahmen ergreifen, um Persistent IP für eine Website zu aktivieren. In der Vergangenheit war diese Funktion nur für einige Domänen aktiviert (Domänen mit deaktivierter HTTPS-Überprüfung). Diese Funktion gilt jetzt jedoch für alle Ziele.
• Diese Funktion ist sowohl für HTTP- als auch für HTTPS-Verkehr geeignet.
• Sie erhalten keine feste statische IP-Adresse. Diese Funktion stellt eine beständige Ausgangs-IP-Adresse für nachfolgende Webanfragen in derselben Sitzung bereit.  Umbrella stellt jedoch nicht für jede Organisation eine feste/statische IP-Adresse bereit.  Umbrella ist eine Multi-Tenant-Plattform, bei der mehrere Kunden die gleiche Ausgangs-IP-Adresse verwenden können.