Introducción
Este documento describe una limitación SWG específica donde la inspección SSL inhabilita el soporte de compresión Brotli, que puede causar problemas de carga web.
Antecedentes
Cuando se habilita la inspección SSL (descifrado HTTPS) en Cisco Secure Web Gateway (SWG), una limitación clave es que SWG actualmente no admite la compresión de Brotli. Esta limitación afecta al modo en que se gestionan los encabezados de codificación de contenido durante el descifrado SSL, lo que puede provocar problemas con el contenido y la carga incompleta de activos web.
Problema
En realidad, la falta de compatibilidad con Brotli de SWG hace que el proxy elimine o modifique el encabezado Accept-Encoding que incluye Brotli (br). Como resultado, el servidor puede responder con tipos MIME inesperados como application/x-gzip en lugar de la aplicación/javascript correcta. Esta discordancia de tipo MIME desencadena funciones de seguridad del navegador, como el bloqueo de respuesta opaca (ORB) de Chrome, que bloquea el contenido para evitar posibles riesgos de seguridad. En consecuencia:
-
Los activos comprimidos con Brotli no pueden ser manejados o reconocidos correctamente por SWG durante el descifrado SSL.
-
La eliminación del proxy de Brotli del encabezado Accept-Encoding hace que el servidor envíe contenido con tipos MIME incorrectos.
-
Los navegadores bloquean el contenido, lo que provoca fallos en la carga de recursos web esenciales.
Solución
Para mitigar este problema, se recomienda omitir el descifrado SSL para los dominios afectados agregándolos a la lista "No descifrar". Esto evita la discordancia de tipo MIME y el bloqueo de contenido. Además, se espera que Cisco Secure Web Gateway admita la compresión Brotli y proporcione una gestión mejorada de la codificación moderna de contenido web en un futuro próximo.
Información Relacionada
Comentarios