Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Problem

Lösung

Einleitung

In diesem Dokument wird beschrieben, wie Inkompatibilitätsprobleme zwischen Secure Web Gateway (SWG) und SSL VPNs über abgefangene Ports behoben werden.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Cisco Umbrella.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Problem

Umbrella SWG für AnyConnect kann bei bestimmten SSL VPNs, die vom SWG-Agenten abgefangene Ports verwenden, auf Kompatibilitätsprobleme stoßen, z. B. bei TCP 443. AnyConnect SWG kann die Abdeckung nicht zuverlässig aktivieren und anwenden. Wenn die SWG aktiv ist und der VPN-Datenverkehr die SWG passiert, kann die Netzwerkzuverlässigkeit abnehmen oder ausfallen. In diesem Szenario wird Datenverkehr, der nicht aus dem Web stammt, verworfen. Dieses Problem betrifft alle SSL VPNs, die die Ports 80 und 443 verwenden.

Lösung

Um zu verhindern, dass der VPN-Datenverkehr durch die SWG abgefangen wird, konfigurieren Sie einen Bypass für Ihre VPN-Domänen und IP-Adressen:

1. Navigieren Sie im Umbrella Dashboard zu Access Deployments > Domain Management > External Domains.

2. Fügen Sie die Domäne und die IP-Adresse Ihrer VPN-Headend-Server der Liste Externe Domänen hinzu. Der IP-Eintrag stellt sicher, dass der VPN-Datenverkehr aufgrund der großen Anzahl von Verbindungen nie vom SWG-Agenten abgefangen wird.

3. Warten Sie eine Stunde, bis sich die neue Einstellung verbreitet.

SSL VPN mit SWG verwenden:

1. Fügen Sie die VPN-Domäne der Liste Externe Domänen hinzu.

2. Wenn die VPN-Headend-Domäne ein DNS-Suffix ist, fügt der Client diese Domäne für die Dauer der Verbindung automatisch hinzu.

3. Fügen Sie die IP-Adressen oder den IP-Bereich des VPN-Headends der Liste Externe Domänen hinzu.