Upstreamproxy in sicherer Webappliance konfigurieren

Download-Optionen

  • PDF     (1.0 MB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (818.7 KB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (688.2 KB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:21. Oktober 2026
Dokument-ID:225825

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Einleitung

In diesem Dokument werden die Schritte zum Konfigurieren des Upstreamproxys in der sicheren Webappliance (SWA) beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

  • SWA-Verwaltung
  • Grundlegende Netzwerk- und Proxy-Protokolle

Cisco empfiehlt die Installation der folgenden Tools:

  • Physisches oder virtuelles SWA
  • Administratorzugriff auf die grafische Benutzeroberfläche (GUI) von SWA
  • Administratorzugriff auf die SWA-Befehlszeilenschnittstelle (CLI)

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Upstream-Proxy konfigurieren

Gehen Sie folgendermaßen vor, um einen Upstream-Proxy in SWA zu konfigurieren:

Schritte

Schritte

Schritt 1: (Optional) Erstellen einer benutzerdefinierten URL-Kategorie für URLs

Anmerkung: Wenn Sie den Upstream-Proxy für den gesamten Datenverkehr definieren möchten, können Sie diesen Schritt überspringen.

Schritt 1.1. Wählen Sie in der GUI die Option Websicherheits-Manager aus, und klicken Sie auf Benutzerdefinierte und externe URL-Kategorien.
Schritt 1.2. Klicken Sie auf Kategorie hinzufügen, um eine benutzerdefinierte URL-Kategorie hinzuzufügen.
Schritt 1.3: Weisen Sie einen eindeutigen Kategorienamen zu.
Schritt 1.4. (Optional) Beschreibung hinzufügen.

Schritt 1.5. Wählen Sie aus der Listenreihenfolge die erste Kategorie für die Positionierung an der Spitze aus.

Schritt 1.6: Wählen Sie in der Dropdown-Liste Kategorietyp die Option Lokale benutzerdefinierte Kategorie aus.

Schritt 1.7. Fügen Sie die gewünschten URLs im Abschnitt Sites hinzu.

Schritt 1.8: Senden.

Image - Create a Custom URL CategoryBild - Erstellen einer benutzerdefinierten URL-Kategorie

Schritt 2: (Optional) Erstellen Sie ein Identifizierungsprofil für den Upstream-Proxy.

Anmerkung: Wenn Sie den Upstream-Proxy für den gesamten Datenverkehr definieren möchten, können Sie diesen Schritt überspringen.

Schritt 2.1. Wählen Sie in der GUI den Befehl Websicherheits-Manager aus, und klicken Sie auf Identifikationsprofile.
Schritt 2.2. Klicken Sie auf Profil hinzufügen, um ein Profil hinzuzufügen.
Schritt 2.3. Verwenden Sie das Kontrollkästchen Identifikationsprofil aktivieren, um das Profil zu aktivieren oder es schnell zu deaktivieren, ohne es zu löschen.
Schritt 2.4: Zuweisen eines eindeutigen Profilnamens.
Schritt 2.5. (Optional) Beschreibung hinzufügen.
Schritt 2.6. Wählen Sie aus der Dropdown-Liste Einfügen oben aus, wo das Profil in der Tabelle angezeigt werden soll.

Schritt 2.7. Wenn Sie keine Authentifizierung der Benutzer wünschen, die auf diese Richtlinie zugreifen, wählen Sie im Abschnitt User Identification Method die Option Exempt from authentication/identification (Von Authentifizierung/Identifizierung ausnehmen), andernfalls konfigurieren Sie die Authentifizierungsparameter. 

Schritt 2.8. Lassen Sie dieses Feld im Feld Mitglieder nach Subnetz definieren leer, damit es alle Client-IP-Adressen enthält, es sei denn, Sie möchten Datenverkehr für bestimmte IPs weiterleiten. 

Schritt 2.9. (Optional: Wenn Sie einen Upstream-Proxy für bestimmte Benutzer verwenden müssen, die auf bestimmte Websites zugreifen, führen Sie diesen Schritt aus.) Wählen Sie im Abschnitt Erweitert die Option Benutzerdefinierte URL-Kategorien, und fügen Sie die benutzerdefinierte URL-Kategorie hinzu, die in Schritt 1 erstellt wurde.

Schritt 2.10: Senden. 

Image - Create an Identification ProfileBild - Identifikationsprofil erstellen

Schritt 3: Erstellen des Upstream-Proxys 

Schritt 3.1. Wählen Sie in der GUI die Option Network (Netzwerk) aus, und klicken Sie auf Upstream Proxy.

Schritt 3.2: Klicken Sie auf Gruppe hinzufügen.

Schritt 3.3: Zuweisen eines eindeutigen Namens.
Schritt 3.4: Definieren der Proxyadresse und der Portnummer.
Schritt 3.5. (Optional) Wenn Sie mehr als einen Upstream-Proxy haben, klicken Sie auf Zeile hinzufügen, um den nächsten Proxy zu definieren.

Schritt 3.6. (Optional) Wenn Sie mehr als einen Upstream-Proxy aus dem Abschnitt Load Balancing eingegeben haben, definieren Sie die gewünschte Load Balancing-Methode. 

  • Keine (Failover): Der Webproxy leitet Transaktionen an einen externen Proxy in der Gruppe weiter. Er versucht, die Proxys in der Reihenfolge zu verbinden, in der sie aufgeführt sind. Wenn ein Proxy nicht erreichbar ist, versucht der Webproxy, eine Verbindung mit dem nächsten in der Liste herzustellen.
  • Geringste Verbindungsanzahl: Der Webproxy verfolgt, wie viele aktive Anforderungen mit verschiedenen Proxys in der Gruppe vorhanden sind, und leitet eine Transaktion an den Proxy weiter, der derzeit die geringste Anzahl von Verbindungen verarbeitet.
  • Hash-Based (Least Recently Used): Der Webproxy leitet eine Transaktion an den Proxy weiter, der zuletzt eine Transaktion empfangen hat, wenn alle Proxys derzeit aktiv sind. Diese Einstellung ähnelt dem Round-Robin-Verfahren, jedoch berücksichtigt der Webproxy auch die Transaktionen, die ein Proxy empfangen hat (Mitglied) und die sich in einer anderen Proxygruppe befinden. Das heißt, wenn ein Proxy in mehreren Proxy-Gruppen aufgelistet ist, ist die Option "zuletzt verwendet" weniger wahrscheinlich, dass dieser Proxy überlastet wird.
  • Round-Robin: Der Webproxy durchläuft die Transaktionen gleichmäßig zwischen allen Proxys in der Gruppe in der angegebenen Reihenfolge.

Schritt 3.7. Wählen Sie die Fehlerbehandlungsoption aus, die Ihrer internen Richtlinie entspricht.

  • Direkte Verbindung: Senden Sie die Anforderungen direkt an die Zielserver.
  • Verwerfungsanfragen: Verwerfen Sie die Anfragen, ohne sie weiterzuleiten.

Schritt 3.8: Senden.

Image - Add Upstream Proxy GroupImage: Upstream-Proxygruppe hinzufügen

Schritt 4. (Optional) Laden Sie das Entschlüsselungszertifikat hoch.

Anmerkung: Wenn der Upstream-Proxy den Datenverkehr nicht entschlüsselt oder der CA-Server (Certificate Authority) im SWA bereits vertrauenswürdig ist, können Sie diesen Schritt überspringen.

Schritt 4.1. Wählen Sie in der GUI die Option Network (Netzwerk) aus, und klicken Sie auf Certificate Management (Zertifikatsverwaltung).

Schritt 4.2. Klicken Sie im Abschnitt Zertifikatsverwaltung auf Vertrauenswürdige Stammzertifikate verwalten.

Image - Manage Trusted Root CertificateImage - Vertrauenswürdiges Stammzertifikat verwalten

Schritt 4.3 Änderungen einsenden und bestätigen.

Achtung: Wenn sowohl Root- als auch Zwischenzertifikate erforderlich sind, laden Sie zuerst das Root-Zertifizierungsstellenzertifikat hoch, und klicken Sie dann auf Senden und bestätigen. Importieren Sie nach Abschluss der Bestätigung das Zwischenzertifikat, und senden Sie die Änderungen erneut, und bestätigen Sie sie.

Schritt 5: Konfigurieren der Routing-Richtlinie

Schritt 5.1. Wählen Sie in der GUI Web Security Manager aus, und klicken Sie dann auf Routing Policy (Routingrichtlinie).

Schritt 5.2. (Optional) Wenn Sie den Upstream-Proxy für bestimmte Benutzer oder Websites verwenden möchten, klicken Sie auf Richtlinie hinzufügen, und wählen Sie das Identifikationsprofil aus, das Sie in Schritt 2 erstellt haben. 

Image - Adding ID Profile to Routing PolicyImage - Hinzufügen eines ID-Profils zur Routing-Richtlinie

Schritt 5.3: Um die gewünschten Einstellungen für den Upstream-Proxy zu erhalten, klicken Sie auf den Link Routing-Ziel und wählen die Upstream-Proxygruppe aus, die Sie in Schritt 3 erstellt haben.

Image - Configuring Routing DestinationImage - Konfigurieren des Routing-Ziels

Anmerkung: Wenn der gesamte Datenverkehr den Upstreamproxy verwenden soll, wählen Sie in der globalen Routingrichtlinie den gewünschten Upstreamproxy aus.

Schritt 5.4. Senden und bestätigen Sie die Änderungen.

Schritt 6. (Optional) Konfigurieren der Einstellungen für das Timeout für nicht reagierende Upstream-Proxys

Tipp: Es wird empfohlen, diese Werte nicht zu ändern, es sei denn, Sie verstehen ihr Verhalten und ihre potenziellen Auswirkungen vollständig.

Schritt 6.1. Melden Sie sich bei der CLI an, und führen Sie advanced proxyconfig aus.

Schritt 6.2. Wählen Sie VERSCHIEDENES.

Schritt 6.3. Drücken Sie die Eingabetaste, bis Enter minimum idle timeout (Minimales Leerlaufzeitlimit für Prüfung des nicht antwortenden Upstreamproxys in Sekunden) angezeigt wird. Sie können die minimale Zeitdauer konfigurieren. SWA wartet darauf, den Upstreamproxy, der zuvor als krank deklariert wurde, erneut zu versuchen. Der Standardwert ist 10 Sekunden.

Schritt 6.4. Drücken Sie die Eingabetaste, um mit der nächsten Einstellung fortzufahren. Wenn Sie den maximalen Timeout für Leerlaufzeiten zum Überprüfen eines nicht antwortenden Upstreamproxys definieren, beachten Sie, dass der Timeoutwert erreicht wird, bevor die konfigurierte Anzahl von erneuten Verbindungsversuchen erschöpft ist (Schritt 3). Der SWA berücksichtigt den Upstreamproxy als offline.

Schritt 6.5. Drücken Sie weiterhin die Eingabetaste, bis Sie den Assistenten beenden und commit ausführen, um die Änderungen zu speichern.

Protokollieren

Zugriffsprotokolle

In den Access-Protokollen wird der an den Upstreamproxy weitergeleitete Datenverkehr als DEFAULT_PARENT angezeigt, hinter dem der Name des Upstreamproxys steht. Hier ein Beispiel:

1775659642.780 462 10.20.3.15 TCP_MISS_SSL/200 129 CONNECT tunnel://www.cisco.com:443/ "AMOJARRA\amojarra" DEFAULT_PARENT/10.48.48.182 - DECRYPT_WEBCAT_7-DPurl-Auith-NONE-NONE-NONE-DefaultGroup-NONE <"IW_comp",8.7,1,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"IW_comp",-,"-","Computers and Internet","-","Unknown","Unknown","-","-",2.23,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -

Proxy-Protokolle

Aus den Proxy-Protokollen können Sie den Diagnosestatus der Upstreamproxys überprüfen. 

Tipp: Sie können nach Peer filtern, um Protokolle zu überprüfen, die mit dem Upstreamproxy verknüpft sind.

Dies sind einige Beispiele für Konfigurationen mit den in Schritt 3 bis 2 beschriebenen Verbindungsversuchen. Nach dem zweiten Fehler beim Herstellen der Verbindung mit dem Upstreamproxy wird der Upstreamproxy als tot deklariert, und SWA entfernt diesen Upstreamproxy aus der Liste, bis der Proxyprozess neu gestartet wird:

Thu Apr  2 13:52:35 2026 Info: PROX_CONNTRACK : 940 : [15968:0] Peer-upstream 10.48.48.182:3128 was healthy, now sick. 
Thu Apr  2 13:52:36 2026 Info: PROX_CONNTRACK : 940 : [15968:0] Peer 10.48.48.182:3128 was sick, now healthy.
...
Thu Apr  2 13:59:37 2026 Info: PROX_CONNTRACK : 60 : [71197:0] Peer 10.48.48.183:3128 remains sick after 2 failures.
Thu Apr  2 13:59:39 2026 Warning: PROX_CONNTRACK : 70 : [71197:0] Peer-upstream 10.48.48.183:3128 declared dead.

Anmerkung: Wenn der Upstreamproxy nicht auf TCP-SYN-Anfragen antwortet, keinen HTTP-Antwortcode zurückgibt oder eine HTTP 504 (Gateway-Zeitüberschreitung)-Antwort zurückgibt; SWA betrachtet den Upstream-Proxy als nicht verfügbar und ändert seinen Status von fehlerfrei in fehlerfrei.

Tipp: Der SWA betrachtet einen Upstream-Proxy als fehlerfrei, wenn er einen VIA-Header zurückgibt.

Verwandte Inhalte

Revisionsverlauf

Überarbeitung Veröffentlichungsdatum Kommentare
2.0
21-Oct-2026
Aktualisierte Einführung, Rechtschreibung, Grammatik, Abstände, eingefügte horizontale Linien in separate Abschnitte zur besseren Lesbarkeit, korrigierte CCW-Warnungen.
1.0
28-Apr-2026
Erstveröffentlichung
TAC Authored

Beiträge von Cisco Ingenieuren

  • Amirhossein Mojarrad
    Technical Consulting Engineer

War dieses Dokument hilfreich?

FeedbackFeedback

Cisco kontaktieren