Configuración del Proxy upstream en el dispositivo web seguro

Opciones de descarga

  • PDF     (1.0 MB)
    Visualice con Adobe Reader en una variedad de dispositivos
  • ePub     (819.2 KB)
    Visualice en diferentes aplicaciones en iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (688.4 KB)
    Visualice en dispositivo Kindle o aplicación Kindle en múltiples dispositivos
Actualizado:21 de octubre de 2026
ID del documento:225825

Lenguaje no discriminatorio

El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.

Acerca de esta traducción

Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).

Introducción

Este documento describe los pasos para configurar el Proxy Upstream en el Dispositivo Web Seguro (SWA).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

  • Administración SWA
  • Redes básicas y protocolos de proxy

Cisco recomienda tener instaladas estas herramientas:

  • SWA físico o virtual
  • Acceso administrativo a la interfaz gráfica de usuario (GUI) de SWA
  • Acceso administrativo a la interfaz de línea de comandos (CLI) SWA

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configuración del Proxy Upstream

Utilice estos pasos para configurar un Proxy Upstream en SWA:

Pasos

Pasos

Paso 1. (Opcional) Crear una categoría de URL personalizada para las URL

Nota: Si prefiere definir el proxy upstream para todo el tráfico, puede saltarse este paso.

Paso 1.1. En la GUI, elija Web Security Manager y haga clic en Custom and External URL Categories.
Paso 1.2. Haga clic en Agregar categoría para agregar una categoría de URL personalizada.
Paso 1.3. Asignar un nombre de categoría único.
Paso 1.4. (Opcional) Agregar descripción.

Paso 1.5. En Orden de la lista, elija la primera categoría que desee colocar en la parte superior.

Paso 1.6. En la lista desplegable Tipo de categoría, elija Categoría personalizada local.

Paso 1.7. Agregue las URL deseadas en la sección Sitios.

Paso 1.8. Enviar.

Image - Create a Custom URL CategoryImagen: creación de una categoría de URL personalizada

Paso 2. (Opcional) Crear un perfil de identificación para utilizarlo para el proxy upstream

Nota: Si prefiere definir el proxy upstream para todo el tráfico, puede saltarse este paso.

Paso 2.1. En la GUI, elija Web Security Manager y haga clic en Perfiles de identificación.
Paso 2.2. Haga clic en Agregar perfil para agregar un perfil.
Paso 2.3. Utilice la casilla de verificación Activar perfil de identificación para activar el perfil o para desactivarlo rápidamente sin eliminarlo.
Paso 2.4. Asignar un nombre de perfil único.
Paso 2.5. (Opcional) Agregar descripción.
Paso 2.6. En la lista desplegable Insertar arriba, elija dónde debe aparecer el perfil en la tabla.

Paso 2.7. Si no desea autenticar a los usuarios que acceden a esta política, en la sección Método de Identificación de Usuario, elija Exento de autenticación/identificación; de lo contrario configure los parámetros de autenticación. 

Paso 2.8. En el campo Define Members by Subnet, deje este campo en blanco para incluir todas las direcciones IP de cliente, a menos que desee pasar tráfico para ciertas direcciones IP. 

Paso 2.9. (Opcional: Si necesita utilizar un proxy upstream para usuarios específicos que acceden a ciertos sitios web, complete este paso). En la sección Avanzadas, elija Categorías de URL personalizadas y agregue la Categoría de URL personalizada que se creó en el Paso 1.

Paso 2.10. Enviar. 

Image - Create an Identification ProfileImagen - Crear un perfil de identificación

Paso 3. Crear el proxy upstream 

Paso 3.1. Desde la GUI, elija Network, y haga clic en Upstream Proxy.

Paso 3.2. Haga clic en Agregar grupo.

Paso 3.3. Asignar un nombre único.
Paso 3.4. Defina la dirección del proxy y el número de puerto.
Paso 3.5. (Opcional) Si tiene más de un proxy upstream, haga clic en Agregar fila para definir el siguiente proxy.

Paso 3.6. (Opcional) Si ingresó más de un Proxy Upstream desde la sección Balanceo de Carga, defina el método de Balanceo de Carga deseado, 

  • Ninguno (conmutación por fallo): el proxy web dirige las transacciones a un proxy externo del grupo. Intenta conectar los proxies en el orden en que aparecen en la lista. Si no se puede alcanzar un proxy, el proxy web intenta conectarse al siguiente de la lista.
  • Menor número de conexiones: el proxy web realiza un seguimiento del número de solicitudes activas con diferentes proxies en el grupo y dirige una transacción al proxy que actualmente atiende el menor número de conexiones.
  • Basado en Hash (Utilizado Menos Recientemente): El proxy web dirige una transacción al proxy que ha recibido una transacción menos recientemente si todos los proxies están activos actualmente. Esta configuración es similar a la operación por turnos, excepto en que el proxy web también tiene en cuenta las transacciones recibidas por un proxy (miembro) que se encuentran en un grupo de proxy diferente. Es decir, si un proxy aparece en varios grupos de proxy, es menos probable que la opción "menos utilizada recientemente" sobrecargue ese proxy.
  • Turno rotatorio: el proxy de web procesa las transacciones por igual entre todos los proxies del grupo en el orden indicado.

Paso 3.7. Elija la opción Gestión de Fallos que coincida con su política interna.

  • Conectar directamente: envía las solicitudes directamente a sus servidores de destino.
  • Solicitudes de descarte: descarte las solicitudes sin reenviarlas.

Paso 3.8. Enviar.

Image - Add Upstream Proxy GroupImagen - Agregar grupo de proxy upstream

Paso 4. (Opcional) Cargue el certificado de descifrado

Nota: Si el proxy upstream no descifra el tráfico o si su servidor de autoridad de certificación (CA) ya es de confianza en el SWA, puede omitir este paso.

Paso 4.1. Desde la GUI, elija Network, y haga clic en Certificate Management.

Paso 4.2. En la sección Administración de certificados, haga clic en Administrar certificados raíz de confianza.

Image - Manage Trusted Root CertificateImagen - Administrar certificado raíz de confianza

Paso 4.3. Enviar y registrar cambios.

Precaución: Si se requieren certificados de CA raíz e intermedia, cargue primero el certificado de CA raíz y, a continuación, haga clic en Enviar y Confirmar. Una vez completada la confirmación, importe el certificado de CA intermedio, y vuelva a enviar y confirmar los cambios.

Paso 5. Configuración de la Política de Ruteo

Paso 5.1. En GUI, elija Web Security Manager y haga clic en Routing Policy.

Paso 5.2. (Opcional) Si desea utilizar el proxy upstream para usuarios o sitios web específicos, haga clic en Agregar directiva y elija el perfil de identificación que creó en el paso 2. 

Image - Adding ID Profile to Routing PolicyImagen - Agregando perfil de ID a la política de enrutamiento

Paso 5.3. Para los ajustes requeridos que prefiera en el proxy upstream, haga clic en el enlace Destino de routing y seleccione el Grupo de proxy upstream que ha creado en el Paso 3.

Image - Configuring Routing DestinationImagen - Configuración del Destino de Ruteo

Nota: Si prefiere que todo el tráfico utilice el proxy upstream, en la Política de routing global, seleccione el proxy upstream deseado.

Paso 5.4. Enviar y registrar los cambios.

Paso 6. (Opcional) Configuración de los Valores de Tiempo de Espera de Respuesta de Proxy Upstream

Sugerencia: se recomienda no modificar estos valores a menos que comprenda completamente su comportamiento y su impacto potencial.

Paso 6.1. Inicie sesión en la CLI y ejecute advanced proxyconfig.

Paso 6.2. Seleccione MISCELLANEOUS.

Paso 6.3. Presione Enter hasta que vea Enter minimum idle timeout for check unresponse upstream proxy (in seconds). Puede configurar la cantidad mínima de tiempo, SWA espera para reintentar el proxy upstream que se declaró anteriormente como Enfermo. El valor predeterminado es 10 segundos.

Paso 6.4. Presione Enter para continuar con la siguiente configuración. Al definir el tiempo de espera inactivo máximo para verificar un proxy upstream que no responde, observe si este valor de tiempo de espera se alcanza antes de que se agote el número configurado de intentos de reconexión (Paso 3), el SWA considera el proxy upstream como desconectado.

Paso 6.5. Mantenga presionado Enter, hasta que salga del asistente, ejecute commit para guardar los cambios.

Registro

Registros de acceso

En los registros de acceso, el tráfico enrutado al proxy upstream se muestra como DEFAULT_PARENT seguido del nombre del proxy upstream. Aquí tiene un ejemplo:

1775659642.780 462 10.20.3.15 TCP_MISS_SSL/200 129 CONNECT tunnel://www.cisco.com:443/ "AMOJARRA\amojarra" DEFAULT_PARENT/10.48.48.182 - DECRYPT_WEBCAT_7-DPurl-Auith-NONE-NONE-NONE-DefaultGroup-NONE <"IW_comp",8.7,1,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"IW_comp",-,"-","Computers and Internet","-","Unknown","Unknown","-","-",2.23,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -

Registros de proxy

Desde los Proxylogs, puede verificar el estado de los proxies upstream. 

Consejo: Puede filtrar por peer para revisar los registros relacionados con el proxy upstream.

Estos son algunos ejemplos de lo que se configuró con los Intentos de Reconexión en el Paso 3 hasta dos veces. Después del segundo fallo de conexión al proxy upstream, el proxy upstream se declara muerto y SWA elimina este proxy upstream de la lista hasta que se reinicie el proceso proxy:

Thu Apr  2 13:52:35 2026 Info: PROX_CONNTRACK : 940 : [15968:0] Peer-upstream 10.48.48.182:3128 was healthy, now sick. 
Thu Apr  2 13:52:36 2026 Info: PROX_CONNTRACK : 940 : [15968:0] Peer 10.48.48.182:3128 was sick, now healthy.
...
Thu Apr  2 13:59:37 2026 Info: PROX_CONNTRACK : 60 : [71197:0] Peer 10.48.48.183:3128 remains sick after 2 failures.
Thu Apr  2 13:59:39 2026 Warning: PROX_CONNTRACK : 70 : [71197:0] Peer-upstream 10.48.48.183:3128 declared dead.

Nota: Si el proxy upstream no responde a las solicitudes SYN de TCP, no puede devolver un código de respuesta HTTP o devuelve una respuesta HTTP 504 (tiempo de espera de gateway); SWA considera que el proxy upstream no está disponible y cambia su estado de Saludable a Enfermo.

Consejo: El SWA considera un proxy upstream saludable si devuelve un encabezado VIA.

Contenido relacionado

Historial de revisiones

Revisión Fecha de publicación Comentarios
2.0
21-Oct-2026
Actualización Introducción, ortografía, gramática, espaciado, líneas horizontales insertadas para separar secciones para facilitar su lectura, alertas fijas de CCW.
1.0
28-Apr-2026
Versión inicial
TAC Authored

Con la colaboración de ingenieros de Cisco

  • Amirhossein Mojarrad
    Technical Consulting Engineer

¿Resultó útil este documento?

FeedbackComentarios

Contacte a Cisco