Contenido

Introducción

¿Cuál es la diferencia entre el modo proxy transparente y el modo de reenvío?

Introducción

Este documento describe la diferencia entre el modo transparente y el modo proxy en Cisco Web Security Appliance (WSA).

¿Cuál es la diferencia entre el modo proxy transparente y el modo de reenvío?

El objetivo de un proxy es ser el intermediario (proxy) entre los clientes HTTP y los servidores HTTP. Esto significa específicamente que Web Security Appliance (WSA), como proxy web, tiene dos conjuntos de sockets TCP por solicitud de cliente:

Cliente > WSA

WSA > Servidor de origen

El modo en que el proxy HTTP de WSA obtiene la solicitud del cliente se puede definir de una de las dos maneras siguientes: Transparente o Explícitamente.

Cada una de estas implementaciones tiene varias opciones de configuración específicas:

Implementación

Método

Descripción

Transparente

Switch de capa 4 (PBR)

Un switch de Capa 4 se utiliza para redirigir en función del puerto de destino 80

Transparente

WCCP

Un dispositivo WCCP v2 habilitado (normalmente un router, un switch, PIX o ASA) redirige el puerto 80

Transparente

Modo Bridged

NIC duales, prácticamente emparejadas. El tráfico se produce en una NIC y fuera de la otra (no disponible)

Explícito

Explorador configurado

El explorador del cliente está configurado explícitamente para utilizar un proxy

Explícito

archivo .PAC configurado

El explorador del cliente está configurado explícitamente para nosotros un archivo .PAC que, a su vez, hace referencia al proxy

WSA puede utilizar todas estas implementaciones excepto para el modo puenteado. Se prevé que esto esté disponible en un futuro próximo.

Cuando las solicitudes se redirigen al WSA de forma transparente, el WSA debe pretender ser el OCS (servidor de contenido de origen), ya que el cliente desconoce la existencia de un proxy. Por el contrario, si una solicitud se envía explícitamente al WSA, el WSA responde con su propia información IP.

Hay algunas diferencias entre las solicitudes HTTP de cliente explícitas y transparentes:

- Una solicitud explícita tiene una dirección IP de destino del proxy configurado. Una solicitud transparente tiene una dirección IP de destino del servidor web deseado (DNS resuelto por el cliente).

- El URI para una solicitud transparente no contiene el protocolo con el host:

Transparente

GET / HTTP/1.1

Explícito

GET http://www.google.com/ HTTP/1.1

Ambos contienen un encabezado HTTP Host que especifica el host DNS.

Configuración de WSA

El WSA se puede configurar para "transparente" o "hacia adelante". Esto es un poco engañoso, ya que se trata de un modo realmente "transparente" o "explícito", ambos de los cuales son implementaciones de proxy de reenvío. El proxy inverso es donde el proxy está pensado para estar en la misma red que los servidores HTTP y su propósito es suministrar contenido para estos servidores HTTP.

La única diferencia importante entre el modo transparente y reenvío en el WSA es que en el modo transparente, el WSA responde a las solicitudes HTTP transparentes y explícitas. Mientras que en forma explícita, el WSA SOLAMENTE responde a las solicitudes HTTP explícitas.

El WSA siempre envía su solicitud ascendente como una solicitud de estilo transparente, ya que el WSA actúa como su propio cliente, A MENOS que el WSA esté configurado para utilizar específicamente un proxy upstream explícito.

Aquí hay otra diferencia entre la autenticación transparente y la explícita:

Transparente

401: se envía desde el WSA cuando se requiere autenticación. Esto es también lo que enviaría OCS.

Explícito

407: se envía desde el WSA para indicar al cliente que un proxy HTTP requiere autenticación.