Comment le traitement Skype des appareils de sécurité Web de Cisco (WSA) trafique-t-il ?

Options de téléchargement

PDF (82.6 KB)
Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
ePub (81.0 KB)
Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
Mobi (Kindle) (73.7 KB)
Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils

Mis à jour:29 juillet 2014

ID du document:118094

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

Contenu

Question :

Comment le traitement Skype des appareils de sécurité Web de Cisco (WSA) trafique-t-il ?

Environnement : Cisco WSA, Skype

Skype est un réseau de propriété industrielle de la téléphonie Internet (VoIP). Skype fonctionne principalement comme programme peer-to-peer, ainsi il ne communique pas directement avec un serveur central pour fonctionner. Il peut être particulièrement difficile bloquer Skype, car il tentera de se connecter de beaucoup de différentes manières.

Skype se connecte dans l'ordre de préférence suivant :

Paquets UDP directs à d'autres pairs à l'aide des numéros de port aléatoires
Paquets TCP directs à d'autres pairs à l'aide des numéros de port aléatoires
Paquets TCP directs à d'autres pairs utilisant le port 80 et/ou le port 443
Les paquets percés un tunnel par l'intermédiaire d'un proxy de Web utilisant un HTTP SE CONNECTENT au port 443

Quand déployé dans un environnement explicite de proxy, des méthodes 1-3 ne seront jamais envoyées à Cisco WSA. Afin de bloquer Skype, il doit d'abord être bloqué d'un autre emplacement dans le réseau. Étapes de Skype 1-3 peuvent être bloquées utilisant :

Pare-feu : Utilisation NBAR de bloquer la version 1 de Skype. Plus d'informations sont disponibles chez http://ciscotips.wordpress.com/2006/06/07/how-to-block-skype/
Cisco IPS (ASA) : Cisco ASA peut potentiellement détecter et bloquer Skype par l'intermédiaire des signatures.

Quand Skype retombe à utiliser un proxy explicite, Skype ne fournit délibérément aucun petit groupe de client dans la requête de connexion de HTTP (aucune chaîne d'utilisateur-agent non plus). Ceci le rend difficile à différencier entre Skype et une requête de connexion valide. Skype se connectera toujours au port 443 et l'adresse de destination est toujours une adresse IP.

Exemple :

CONNECTEZ 10.129.88.111:443 HTTP/1.0
Proxy-connexion : keep-alive

La stratégie suivante d'Access bloquera toutes les requêtes de connexion par le WSA qui apparie les adresses IP et le port 443. Ceci appariera tout le trafic de Skype. Cependant, des programmes de non-Skype essayant de percer un tunnel à une adresse IP sur le port 443 seront aussi bien bloqués.

Bloquant Skype - Environnement explicite avec le proxy HTTPS désactivé

Créez une catégorie URL de coutume pour apparier le trafic IP et de port 443 :

Naviguez vers le « directeur de la sécurité » - > « des catégories faites sur commande URL » - > « ajoutent la catégorie faite sur commande ».
Complétez le « nom de catégorie » et développez « a avancé ».
Utilisation "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" dans la fenêtre d'expression régulière.

Placez cette catégorie pour refuser dans les stratégies d'Access :

Naviguez vers le « gestionnaire de sécurité Web » - > des « stratégies d'Access ».
Cliquez sur le lien sous la colonne « de catégories URL » pour le policy group compétent.
Dans la section de filtrage « de catégorie faite sur commande URL », choisissez le « bloc » pour la nouvelle catégorie de Skype.
Soumettez et commettez les modifications

Remarque: Des requêtes de connexion explicites peuvent seulement être bloquées si le service proxy HTTPS est désactivé !

Quand le déchiffrement WSA HTTPS est activé, le trafic de Skype peut très probablement se casser parce que ce n'est pas purement le trafic HTTPS (l'outrage utilisant SE CONNECTENT et le port 443). Ceci aura comme conséquence une erreur 502 générée par le WSA et la connexion sera abandonnée. N'importe quel vrai trafic web HTTPS à une adresse IP continuera à fonctionner (bien qu'il sera déchiffré sur le WSA).

Bloquant Skype - Environnement explicite/transparent avec le proxy HTTPS activé

Créez une catégorie faite sur commande pour apparier le trafic IP et de port 443 :

Naviguez vers le « directeur de la sécurité » - > « des catégories faites sur commande URL » - > « ajoutent la catégorie faite sur commande ».
Complétez le « nom de catégorie » et développez « a avancé ».
Utilisation "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" dans la fenêtre d'expression régulière.

Placez cette catégorie pour déchiffrer dans les stratégies de déchiffrement :

Naviguez vers le « gestionnaire de sécurité Web » - > des « stratégies de déchiffrement ».
Cliquez sur le lien sous la colonne « de catégories URL » pour le policy group compétent.
Dans la section de filtrage « de catégorie faite sur commande URL », choisissez le « déchiffrage » pour la nouvelle catégorie de Skype.
Soumettez et commettez les modifications.

Remarque: Puisque le trafic de Skype est envoyé à un IP, il sera considéré en tant qu'élément « de l'URLs Uncategorized ». Le même effet comme ci-dessus se produira selon si l'action doit déchiffrer ou fonction émulation.