SWG-Richtlinien für Umbrella konfigurieren

Einleitung

In diesem Dokument wird beschrieben, wie Sie Webrichtlinien zur Verwendung mit Umbrella konfigurieren.

Hintergrundinformationen

Willkommen beim Umbrella Secure Web Gateway (SWG). Nach der Bereitstellung ist der wichtigste Schritt, eine Webrichtlinie zu definieren, um sicherzustellen, dass das erhaltene grundlegende Verhalten Ihren Erwartungen entspricht. Heute spiegelt dieser Richtlinienfluss genau die Richtlinien der DNS-Schicht.

Umfassende Webrichtlinien

Umbrella Web Policies funktionieren mit einem Anwendungsalgorithmus mit höchster Übereinstimmung. Dies bedeutet, dass die erste Richtlinie, die dem aktuellen Satz von Identitäten entspricht, angewendet wird und alle nachfolgenden Richtlinienübereinstimmungen ignoriert werden. Dies ist die Grundlage für alle Umbrella-Richtlinien und kann von allen bereits bestehenden Erwartungen an Proxy-basierte Web-Richtlinien abweichen.

Richtlinienfunktionen, wie in diesem Flussdiagramm angezeigt. Die erste Richtlinienübereinstimmung mit einer in der Abfrage enthaltenen Identität wird ohne Berücksichtigung weiterer Richtlinien angewendet.

Flussdiagramm - SWG.png

Da es sich hierbei um einen neuen Datenfluss handelt, der nicht von Umbrella DNS-Richtlinien stammt, können Sie hier ein Beispiel für eine Reihe von Richtlinien finden, bei denen mehrere Richtlinien auf denselben Benutzer oder dieselbe Gruppe angewendet werden. Beachten Sie, dass nur die erste Richtlinie, die auf Phil (oder die Benutzergruppe von Phil) angewendet wird, verwendet wird und alle verbleibenden Übereinstimmungen ignoriert werden. Zusätzliche Übereinstimmungen werden in der Umbrella-Richtlinie nicht aggregiert, sondern einfach ignoriert.

Flussdiagramm-flow.png

Aus diesem Grund sind diese nicht mit den Richtlinien der Umbrella SWG verfügbar:

• Verschachtelte Richtlinien
• Zulassen und Blockieren von Ausschlüssen für eine Anwendung oder Website, die richtlinienübergreifend ist
  • Beispiel: Richtlinienausschlüsse für Phil sind auf Facebook zulassen, Instagram zulassen und Dropbox-Ausschluss zulassen, aber Phillis ist nur auf Facebook zulassen und Instagram zulassen.
    • In der übergeordneten Politik wären dies zwei einzigartige Politiken.
      • Facebook, Instagram, Dropbox auf Phil anwenden lassen
      • Facebook zulassen, Instagram auf Phillis anwenden
    • Für jede Kombination zulässiger oder gesperrter einzelner Anwendungen muss eine neue Richtlinie erstellt werden, wobei die entsprechenden Benutzer der Richtlinie hinzugefügt werden müssen.

Außerdem erhält jeder Datenverkehr, der nicht HTTP/S ist, die DNS-Layer-Richtlinie für diesen Datenverkehr.

Wichtige Hinweise zur Cloud-basierten Firewall und SWG

Die Umbrella CDFW sendet jeglichen zulässigen HTTP/S-Verkehr über die Umbrella SWG und wendet daher auch Richtlinien an. Sobald eine Richtlinie definiert ist, funktioniert der Richtlinienanwendungsfluss genauso wie der SWG-Fluss.

Flussdiagramm - cdfw.png

Wichtige Hinweise zu Richtlinien für Roaming-Sicherheitsmodule

Mit dem Umbrella Roaming Module gelten andere Richtlinien als für netzwerkinterne Richtlinien. Das Roaming-Modul ist nicht mit netzwerkinternen Proxy-Konfigurationen oder PAC-Dateien kompatibel und unterstützt nur den Anwendungsfall außerhalb des Netzwerks. Sie kann im Netzwerk deaktiviert werden.

Bei Verwendung des Roaming-Moduls mit einer SWG-Richtlinie wird die DNS-Richtlinie zuerst für alle Blöcke, einschließlich der Sicherheitsblöcke, wirksam. Wenn das Ergebnis der DNS-Richtlinie kein Block ist, wird die Proxy-Richtlinie angewendet. Zusätzlich werden für jeden Verkehr, der nicht HTTP/S-Verkehr ist, ausschließlich DNS-Richtlinien angewendet. Die Richtlinie wird daher in der folgenden Reihenfolge angewendet:

1. DNS-Richtlinie (für Blöcke)
2. SWG-Richtlinie

Flussdiagramm-Modul.png

Sie möchten mehr erfahren? Sehen Sie sich unser Tutorial-Video an: Umfassende Webrichtlinien.