Inhalt

Einleitung

Was ist der Unterschied zwischen transparentem und weitergeleitetem Proxy-Modus?

Einleitung

In diesem Dokument wird der Unterschied zwischen dem transparenten und dem Proxy-Modus der Cisco Web Security Appliance (WSA) beschrieben.

Was ist der Unterschied zwischen transparentem und weitergeleitetem Proxy-Modus?

Das Ziel eines Proxys ist der mittlere Mann (Proxy) zwischen HTTP-Clients und HTTP-Servern. Dies bedeutet insbesondere, dass die Web Security Appliance (WSA) als Webproxy pro Clientanforderung zwei Sätze von TCP-Sockets aufweist:

Client > WSA

WSA > Ursprungsserver

Wie der WSA HTTP-Proxy die Clientanforderung abruft, kann auf zwei Arten definiert werden: Transparent oder explizit.

Jede dieser Bereitstellungen verfügt über mehrere spezifische Konfigurationsoptionen:

Bereitstellung

Methode

Beschreibung

Transparent

Layer-4-Switch (PBR)

Für die Umleitung wird ein Layer-4-Switch basierend auf dem Zielport 80 verwendet.

Transparent

WCCP

Ein WCCP v2-fähiges Gerät (in der Regel ein Router, ein Switch, PIX oder ASA) leitet Port 80 um.

Transparent

Überbrückungsmodus

Zwei NICs, virtuell gekoppelt. Datenverkehr geht ein- und ausgehende NIC (nicht verfügbar)

Explizit

Browser konfiguriert

Der Clientbrowser ist explizit für die Verwendung eines Proxys konfiguriert.

Explizit

.PAC-Datei konfiguriert

Der Client-Browser ist explizit für die Verwendung einer PAC-Datei konfiguriert, die wiederum auf den Proxy verweist.

Die WSA kann alle diese Bereitstellungen außer dem Bridge-Modus verwenden. Diese soll in naher Zukunft verfügbar sein.

Wenn Anfragen transparent an die WSA umgeleitet werden, muss die WSA so tun, als sei sie der OCS (Ursprungs-Content-Server), da der Client das Vorhandensein eines Proxys nicht kennt. Im Gegenteil: Wenn eine Anforderung explizit an die WSA gesendet wird, antwortet die WSA mit ihren eigenen IP-Informationen.

Zwischen expliziten und transparenten HTTP-Anforderungen des Clients bestehen einige Unterschiede:

- Eine explizite Anforderung verfügt über eine Ziel-IP-Adresse des konfigurierten Proxys. Eine transparente Anfrage hat eine Ziel-IP-Adresse des beabsichtigten Webservers (DNS vom Client aufgelöst).

- Der URI für eine transparente Anforderung enthält nicht das Protokoll mit dem Host:

Transparent

GET/HTTP/1.1

Explizit

GET http://www.google.com/ HTTP/1.1

Beide enthalten einen HTTP-Host-Header, der den DNS-Host angibt.

WSA-Konfiguration

Die WSA kann für "transparent" oder "vorwärts" konfiguriert werden. Dies ist ein wenig trügerisch, da es sich um einen transparenten oder "expliziten" Modus handelt, der beide Forward-Proxy-Bereitstellungen sind. Reverse Proxy ist der Ort, an dem der Proxy im selben Netzwerk wie die HTTP-Server arbeiten soll und der dazu dient, Inhalte für diese HTTP-Server bereitzustellen.

Der einzige große Unterschied zwischen dem transparenten und dem Weiterleitungsmodus auf der WSA besteht darin, dass die WSA im transparenten Modus sowohl auf transparente als auch explizite HTTP-Anfragen reagiert. Im Gegensatz dazu reagiert die WSA NUR auf explizite HTTP-Anfragen.

Die WSA sendet ihre Upstream-Anforderung immer als transparente Stilanforderung, da die WSA als eigener Client fungiert, SOFERN die WSA so konfiguriert ist, dass sie explizit einen Upstreamproxy verwendet.

Ein weiterer Unterschied zwischen transparenter und expliziter Authentifizierung:

Transparent

401 - wird von der WSA gesendet, wenn eine Authentifizierung erforderlich ist. Dies würde das OCS auch senden.

Explizit

407 - wird von der WSA gesendet, um dem Client mitzuteilen, dass ein HTTP-Proxy eine Authentifizierung erfordert.