Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.
Cisco peut fournir des traductions du présent contenu dans la langue locale pour certains endroits. Veuillez noter que des traductions sont fournies à titre informatif seulement et, en cas d’incohérence, la version anglaise du présent contenu prévaudra.
Cette rubrique contient les sections suivantes :
Configurez vos journaux d’accès pour inclure les champs personnalisés suivants :
%u, %g, %m, %k, %L (ces valeurs sont sensibles à la casse.)
Pour une description de ces champs, consultez Spécificateurs de format des journaux d’accès et champs des fichiers journaux W3C.
Pour les instructions de configuration, consultez Personnalisation des journaux d’accès et Ajout et modification d’abonnements aux journaux.
Consultez les rubriques suivantes si vous rencontrez des problèmes de chiffrement et de certificat après avoir mis à niveau votre Secure Web Appliance vers AsyncOS 10.5 et activé le mode FIPS et le chiffrement CSP.
Pour une fonctionnalité qui était opérante avant que vous activiez le chiffrement CSP en mode FIPS, mais qui ne fonctionne pas après l’activation du chiffrement, déterminez si le chiffrement CSP est le problème. Désactivez le chiffrement CSP et le mode FIPS, puis testez la fonction. Si cela fonctionne, activez le mode FIPS et testez-le à nouveau. Si cela fonctionne, activez le chiffrement CSP et testez-le à nouveau. Consultez Activation ou désactivation du mode FIPS.
Les certificats qui ont été acceptés par votre Secure Web Appliance avant la mise à niveau vers AsyncOS 10.5 peuvent être rejetés lorsqu’ils sont à nouveau chargés, quelle que soit la méthode
de chargement. (C’est-à-dire par le biais des pages de l’interface utilisateur telles que le proxy HTTPS, la gestion des certificats,
le fournisseur d’identité pour SaaS, la configuration ISE, la configuration de l’authentification ou la commande de l’interface
de ligne de commande certconfig.)
Assurez-vous que les autorités de certification signataires du certificat ont été ajoutées en tant « qu’autorités de certification approuvées personnalisées » dans la page Certificate Management (Gestion des certificats) [Network > Certificate Management (Réseau > Gestion des certificats)]. Un certificat ne peut pas être téléchargé vers le Secure Web Appliance si le chemin d’accès complet au certificat n’est pas fiable.
En outre, lors du rechargement d’une configuration plus ancienne, il est probable que les certificats inclus ne seront pas fiables et que le rechargement échoue. Assurez-vous que ces certificats sont remplacés lors du chargement de la configuration enregistrée.
 Remarque |
Tous les échecs de validation de certificat sont consignés dans les journaux d’audit ( |
Voir également :
KerbTray ou klist (qui font tous deux partie du Kit de ressources du serveur Windows) pour l’affichage et la purge d’un cache de ticket Kerberos. Explorateur Active Directory pour l’affichage et la modification d’un répertoire Active Directory Wireshark est un analyseur de paquets que vous pouvez utiliser pour le dépannage de réseau.
Lorsque certains agents utilisateurs ou certaines applications ne parviennent pas à s’authentifier et se voir refuser l’accès, ils envoient des demandes à plusieurs reprises à Secure Web Appliance, qui envoie à son tour des demandes aux serveurs Active Directory avec les informations d’identification de l’ordinateur, parfois au point d’affecter les opérations normales.
Pour de meilleurs résultats, contournez l’authentification à l’aide de ces agents utilisateurs. Consultez Contournement de l’authentification avec des agents utilisateur problématiques.
Les serveurs LDAP ne prennent pas en charge NTLMSSP. Certaines applications clientes, comme Internet Explorer, choisissent toujours NTLMSSP lorsqu’elles ont le choix entre NTLMSSP et Basic (Basique). Si toutes les conditions suivantes sont satisfaites, l’authentification de l’utilisateur échouera :
L’utilisateur existe uniquement dans le domaine LDAP.
Le profil d’identification utilise une séquence qui contient à la fois les domaines LDAP et NTLM.
Le profil d’identification utilise le schéma d’authentification Basic ou NTLMSSP.
Un utilisateur envoie une demande à partir d’une application qui choisit NTLMSSP au lieu de Basic.
Reconfigurez le profil d’identification, le domaine d’authentification ou l’application de sorte qu’au moins une des conditions ci-dessus soit fausse.
L’authentification LDAP échoue lorsque toutes les conditions suivantes sont remplies :
Le domaine d’authentification LDAP utilise un serveur Active Directory.
Le serveur Active Directory utilise une recommandation LDAP vers un autre serveur d’authentification.
Le serveur d’authentification désigné n’est pas disponible pour Secure Web Appliance.
Solutions :
Indiquez le serveur de catalogue global (le port par défaut est 3268) dans la forêt Active Directory lorsque vous configurez le domaine d’authentification LDAP dans l’appliance.
Utilisez la commande d’interface de ligne de commande advancedproxyconfig > authentication pour désactiver les recommandations LDAP. Les recommandations LDAP sont désactivées par défaut.
Problèmes connexes
AsyncOS pour le Web prend uniquement en charge les caractères ASCII 7 bits pour les phrases secrètes lors de l’utilisation du schéma d’authentification de base. L’authentification de base échoue lorsque la phrase secrète contient des caractères qui ne sont pas des caractères ASCII 7 bits.
L’authentification NTLM ne fonctionne pas dans certains cas lorsque Secure Web Appliance est connecté à un périphérique compatible avec WCCP v2. Lorsqu’un utilisateur effectue une demande avec une version hautement verrouillée d’Internet Explorer qui n’effectue pas l’authentification NTLM transparente correctement et que l’appliance est connectée à un périphérique compatible avec WCCP v2, le navigateur utilise par défaut l’authentification de base. Ainsi, les utilisateurs sont invités à saisir leurs informations d’authentification alors qu’ils ne devraient pas les recevoir.
Solution de rechange
Dans Internet Explorer, ajoutez le nom d’hôte de redirection Secure Web Appliance à la liste des sites approuvés dans la zone Local Intranet (Intranet local) [Tools > Internet Options > Security tab (Outils > Options Internet > onglet Sécurité)].
Lorsque vous bloquez des fichiers Microsoft Office dans la section Block Object Type (Bloquer le type d’objet), il est possible que certains fichiers Microsoft Office ne soient pas bloqués.
Si vous devez bloquer tous les fichiers Microsoft Office, ajoutez application/x-ole dans le champ Block Personal MIME Types (Bloquer les types MIME personnalisés). Cependant, le blocage de ce type MIME personnalisé bloque également tous les types de formats d’objets composés Microsoft, tels que les fichiers Visio et certaines applications tierces.
Lorsque vous configurez Secure Web Appliance pour bloquer les types d’objets exécutables DOS, l’appliance bloque également les mises à jour pour Windows OneCare.
Il est possible que les navigateurs Firefox ne prennent pas en charge la recherche DHCP avec WPAD. Pour obtenir les informations
les plus récentes, consultez https://bugzilla.mozilla.org/show_bug.cgi?id=356831.
Pour utiliser Firefox (ou tout autre navigateur qui ne prend pas en charge DHCP) avec WPAD lorsque le fichier PAC est hébergé sur Secure Web Appliance, configurez l’appliance de manière à servir le fichier PAC par le port 80.
|
Step 1 |
Choisissez Security Services > Web Proxy (Services de sécurité > Proxy Web) et supprimez le port 80 du champ HTTP Ports to Proxy (Ports HTTP vers proxy). |
|
Step 2 |
Utilisez le port 80 comme port du serveur PAC lorsque vous chargez le fichier sur l’appliance. |
|
Step 3 |
Si des navigateurs sont configurés manuellement pour pointer vers le proxy Web sur le port 80, reconfigurez ces navigateurs afin qu’ils pointent vers un autre port dans le champ HTTP Ports to Proxy (Ports HTTP vers proxy). |
|
Step 4 |
Modifiez toutes références au port 80 dans les fichiers PAC. |
Si une alerte contenant le message « Failed to bootstrap the DNS cache » (Échec du démarrage du cache DNS) est générée au redémarrage d’une appliance, cela signifie que le système n’a pas pu contacter ses serveurs DNS principaux. Cela peut se produire au démarrage si le sous-système DNS est mis en ligne avant que la connectivité réseau ne soit établie. Si ce message s’affiche à d’autres stades, cela peut indiquer des problèmes de réseau ou que la configuration DNS ne pointe pas vers un serveur valide.
Une mauvaise configuration des groupes de basculement peut entraîner la création de plusieurs périphériques principaux ou
d’autres problèmes de basculement. Diagnostiquez les problèmes de basculement à l’aide de la sous-commande testfailovergroup de la commande d’interface de ligne de commande failoverconfig.
Par exemple :
wsa.wga> failoverconfig
Currently configured failover profiles:
1. Failover Group ID: 61
Hostname: failoverV4P1.wga, Virtual IP: 10.4.28.93/28
Priority: 100, Interval: 3 seconds
Status: PRIMARY
Choose the operation you want to perform:
- NEW - Create new failover group.
- EDIT - Modify a failover group.
- DELETE - Remove a failover group.
- PREEMPTIVE - Configure whether failover is preemptive.
- TESTFAILOVERGROUP - Test configured failover profile(s)
[]> testfailovergroup
Failover group ID to test (-1 for all groups):
[]> 61Pour les déploiements sur des appliances virtuelles, assurez-vous d’avoir configuré l’interface/le commutateur virtuel sur l’hyperviseur pour utiliser le mode promiscuité.
Si la clé de fonctionnalité à laquelle vous essayez d’accéder (par l’interface Web) a expiré, communiquez avec votre représentant Cisco ou avec le service d’assistance.
Lorsqu’une requête FTP native est redirigée vers le proxy FTP de manière transparente, elle ne contient aucune information de nom d’hôte pour le serveur FTP, seulement son adresse IP. C’est pourquoi certaines catégories d’URL et certains filtres de réputation Web prédéfinis qui n’ont que des informations de nom d’hôte ne correspondront pas aux demandes FTP natives, même si les demandes sont destinées à ces serveurs. Si vous souhaitez bloquer l’accès à ces sites, vous devez créer des catégories d’URL personnalisées en utilisant leurs adresses IP.
Si la connexion entre le proxy FTP et le serveur FTP est lente, le chargement d’un fichier volumineux peut prendre beaucoup de temps, en particulier lorsque les filtres de sécurité des données Cisco sont activés. Cela peut entraîner l’expiration du délai d’expiration du client FTP avant que le proxy FTP télécharge le fichier entier et vous pourriez obtenir un avis d’échec de transaction. La transaction n’échoue pas, cependant, mais continue en arrière-plan et sera terminée par le proxy FTP.
Vous pouvez contourner ce problème en augmentant la valeur du délai d’inactivité appropriée sur le client FTP.
Les clients FTP créent un fichier de zéro octet sur les serveurs FTP lorsque le mandataire FTP bloque un téléchargement en raison de l’analyse de protection contre les programmes malveillants sortant.
Les navigateurs Chrome n’incluent pas de chaîne user-agent dans les demandes FTP-sur-HTTP ; par conséquent, Chrome ne peut pas être détecté en tant qu’agent utilisateur dans ces demandes.
Le Secure Web Appliance est conçu pour gérer des milliers de connexions de clients et de serveur en parallèle, et la taille des tampons d’envoi et de réception est configurée pour offrir des performances optimales, sans sacrifier la stabilité. En général, l’utilisation réelle correspond au trafic de navigation, qui consiste en de nombreuses connexions de courte durée pour lesquelles nous avons des données de direction de réception de paquets (RPS) et de direction de flux de réception (RFS), et pour lesquelles Secure Web Appliance a été optimisé.
Cependant, il se peut que vous rencontriez parfois une réduction notable des vitesses de chargement ou de téléchargement; Par exemple, lors du transfert de fichiers volumineux par un proxy. Par exemple, en supposant une ligne à 10 Mbit/s, le téléchargement d’un fichier de 100 Mo qui passe par un Secure Web Appliance peut être environ sept à huit fois plus lent que le téléchargement du fichier directement à partir du serveur.
Dans les environnements inhabituels qui comprennent une proportion plus élevée de transferts de fichiers volumineux, vous
pouvez utiliser la commande networktuning pour augmenter la taille de la mémoire tampon d’envoi et de réception afin de résoudre ce problème, mais cela peut également
épuiser la mémoire réseau et affecter la stabilité du système. Consultez Commandes de l’interface de ligne de commande Secure Web Appliance pour en savoir plus sur la commande networktuning.
 Caution |
Faites preuve de prudence lorsque vous modifiez les points de contrôle de la mémoire tampon de réception et d’envoi du protocole
TCP et d’autres paramètres de la mémoire tampon TCP. Utilisez la commande |
Pour configurer la taille de la mémoire tampon dans networktuning, assurez-vous d’avoir activé les options d’envoi et de réception automatiques fournies dans networktuning.
Voici des exemples d’utilisation de la commande networktuning sur deux appliances différentes :
networktuning
sendspace = 131072
recvspace = 131072
send-auto = 1 [Remember to disable miscellaneous > advancedproxy > send buf auto tuning]
recv-auto = 1 [Remember to disable miscellaneous > advancedproxy > recv buf auto tuning]
mbuf clusters = 98304 * (X/Y) where is X is RAM in GBs on the system and Y is 4GB.
sendbuf-max = 1048576
recvbuf-max = 1048576Questions
Quels sont ces paramètres?
Secure Web Appliance comprend plusieurs tampons et algorithmes d’optimisation qui peuvent être modifiés pour des besoins spécifiques. Les tailles des tampons sont optimisées à l’origine pour s’adapter aux scénarios de déploiement « les plus courants ». Cependant, des tailles de tampon plus grandes peuvent être utilisées lorsque des performances par connexion plus rapides sont nécessaires, mais notez que l’utilisation globale de la mémoire augmentera. Par conséquent, l’augmentation de la taille de la mémoire tampon doit correspondre à la mémoire disponible sur le système. Les variables d’espace d’envoi et de réception contrôlent la taille des tampons disponibles pour le stockage des données pour la communication sur une interface de connexion. Les options send- et received-auto sont utilisées pour activer et désactiver la mise à l’échelle dynamique des tailles de fenêtre TCP d’envoi et de réception. (Ces paramètres sont appliqués dans le noyau de FreeBSD.)
Comment ces exemples de valeurs ont-ils été déterminés?
Nous avons testé différents ensembles de valeurs sur le réseau d’un client, où ce « problème » a été observé, et nous avons « rapprocher » ces valeurs. Nous avons ensuite testé ces modifications dans un contexte de stabilité et d’augmentation des performances dans nos laboratoires. Vous êtes libre d’utiliser des valeurs autres que celles-ci à vos propres risques.
Pourquoi ces valeurs ne sont-elles pas celles par défaut?
Comme mentionné, par défaut, Secure Web Appliance est optimisé pour les déploiements les plus courants et fonctionne dans un très grand nombre d’emplacements sans problème de performance par connexion. Les modifications décrites ici n’augmenteront pas les nombres de RPS et pourraient en fait les faire disparaître.
Important! Si vous devez éteindre et rallumer votre appliance x80 ou x90, attendez au moins 20 minutes que l’appliance se rallume (tous les voyants DEL sont verts) avant d’appuyer sur le bouton d’alimentation.
Les voyants DEL à l’avant ou à l’arrière de votre appliance matérielle indiquent l’état de fonctionnement de votre appliance. Pour obtenir la description de ces voyants, consultez les guides sur le matériel, tel que le Guide d’installation et de maintenance des appliances Cisco x90 Series Content Security Appliance, disponible à l’adresse http://www.cisco.com/c/en/us/support/security/web-security-appliance/products-installation-guides-list.html.
Les spécifications de votre appliance, telles que les plages de températures, sont également indiquées dans ces documents.
Cette alerte peut indiquer un problème ou non. L’expiration du délai de réapprentissage de la batterie ne signifie pas en soi qu’il y a un problème au niveau du contrôleur RAID. Le contrôleur pourra récupérer lors du réapprentissage suivant. Veuillez surveiller votre courriel pour toute autre alerte RAID au cours des prochaines 48 heures afin de vous assurer qu’il ne s’agit pas d’une répercussion d’un autre problème. Si vous ne voyez aucune autre alerte de type RAID émanant du système, vous pouvez l’ignorer en toute sécurité.
Pour les requêtes HTTPS redirigées de manière transparente, le proxy Web doit communiquer avec le serveur de destination pour déterminer le nom du serveur et donc la catégorie d’URL dans laquelle il appartient. Pour cette raison, lorsque le proxy Web évalue l’appartenance au groupe de politiques de routage, il ne peut pas encore connaître la catégorie d’URL d’une requête HTTPS, car il n’a pas encore contacté le serveur de destination. Si le proxy Web ne connaît pas la catégorie d’URL, il ne peut pas faire correspondre la demande HTTPS transparente à une politique de routage définie par l’utilisateur, car les informations sont insuffisantes.
Par conséquent, les transactions HTTPS redirigées de manière transparente ne correspondent aux politiques de routage que si aucun groupe de politiques de routage et aucun profil d’identification n’a de critères d’appartenance. Si des politiques de routage ou des profils d’identification définis par l’utilisateur définissent ses membres par catégorie d’URL, les transactions HTTPS transparentes correspondent au groupe de politiques de routage par défaut.
Si la requête HTTPS provient d’un client qui ne dispose pas des informations d’authentification d’une requête HTTP antérieure, AsyncOS échoue la requête HTTPS ou décrypte la requête HTTPS afin d’authentifier l’utilisateur, selon la façon dont vous configurez le proxy HTTPS. Utilisez le paramètre de demande transparente HTTPS sur la page Security Services > HTTPS Proxy (Services de sécurité > Proxy HTTPS) pour définir ce comportement. Consultez la section d’activation du proxy HTTPS dans la rubrique Politiques de déchiffrement.
Lors de l’analyse des captures de paquets, vous remarquerez peut-être que la liaison « Client Hello » est envoyée à des moments différents pour les politiques de transmission directe avec déchiffrement HTTPS de catégorie personnalisée et de catégorie (Web) par défaut.
Pour une page HTTPS transmise par la catégorie par défaut, la liaison Client Hello est envoyée avant la réception d’une liaison Client Hello du demandeur, et la connexion échoue. Pour une page HTTPS transmise par une catégorie d’URL personnalisée, le client Hello est envoyé après sa réception du client du demandeur et la connexion réussie.
Comme solution, vous pouvez créer une catégorie d’URL personnalisée avec une action directe pour les pages Web compatibles avec SSL 3.0 uniquement.
Certains serveurs HTTPS ne fonctionnent pas comme prévu lorsque le trafic vers eux est déchiffré par un serveur proxy, comme le proxy Web. Par exemple, certains sites Web et leurs applications Web et applets associés, tels que les sites bancaires haute sécurité, gèrent une liste codée en dur de certificats approuvés au lieu de dépendre du magasin de certificats du système d’exploitation.
Vous pouvez contourner le déchiffrement pour le trafic HTTPS vers ces serveurs afin de vous assurer que tous les utilisateurs peuvent accéder à ces types de sites.
|
Step 1 |
Créez une catégorie d’URL personnalisée qui contient les serveurs HTTPS concernés en configurant les propriétés avancées. |
|
Step 2 |
Créez une politique de déchiffrement qui utilise la catégorie d’URL personnalisée créée à l’étape 1 dans le cadre de son appartenance et définissez l’action pour la catégorie d’URL personnalisée sur Pass Through (Intercommunication). |
Les exceptions basées sur le référent sont prises en charge uniquement dans les politiques d’accès. Pour utiliser cette fonctionnalité avec le trafic HTTPS, avant de définir des exceptions dans les politiques d’accès, vous devez configurer le déchiffrement HTTPS des catégories d’URL que vous sélectionnerez pour les exceptions. Cette fonctionnalité ne sera opérante dans certaines conditions :
Note |
Lorsque des plages de temps sont configurées, elles reçoivent la priorité la plus élevée. L’indicateur de référence ne fonctionnera pas si le quota de plage de temps a été atteint. |
En règle générale, les informations sur le certificat racine que vous générez ou chargez dans l’appliance ne sont pas répertoriées comme autorité de certification racine approuvée dans les applications clientes. Par défaut, dans la plupart des navigateurs Web, lorsque les utilisateurs envoient des demandes HTTPS, un message d’avertissement de l’application cliente leur signale qu’il existe un problème avec le certificat de sécurité du site Web. Habituellement, le message d’erreur indique que le certificat de sécurité du site Web n’a pas été émis par une autorité de certification approuvée ou que le site Web a été certifié par une autorité inconnue. Certaines autres applications client ne présentent pas ce message d’avertissement aux utilisateurs et ne permettent pas aux utilisateurs d’accepter le certificat non reconnu.
Note |
Navigateurs Mozilla Firefox : le certificat que vous chargez doit contenir « basicConstraints=CA:TRUE » pour fonctionner avec les navigateurs Mozilla Firefox. Cette contrainte permet à Firefox de reconnaître le certificat racine comme une autorité racine approuvée. |
Les éléments suivants peuvent être utiles lors du dépannage de problèmes liés à Cisco ISE :
L’utilitaire de test ISE, utilisé pour tester la connexion au serveur ISE, fournit des informations précieuses concernant la connexion. Il s’agit de l’option de démarrage du test sur la page Identity Services Engine; voir Se connecter aux services ISE/ISE-PIC.
Journaux ISE et proxy; voir Superviser l’activité du système au moyen de journaux
Commandes de CLI liées à ISE iseconfig et isedata, en particulier isedata pour confirmer le téléchargement de la balise SGT. Voir Commandes de l’interface de ligne de commande Secure Web Appliance pour de plus amples informations.
Les fonctions de suivi Web et de suivi des politiques peuvent être utilisées pour déboguer les problèmes de correspondance de politiques; par exemple, un utilisateur qui devrait être autorisé est bloqué, et inversement. Voir Outil de résolution de problèmes liés aux politiques : Suivi des politiques pour de plus amples informations.
Capture de paquets si Collaboration avec le service d’assistance.
Pour vérifier l’état des certificats, vous pouvez utiliser l’utilitaire openssl (ocsp), disponible à partir de https://www.openssl.org/ .
Les serveurs Secure Web Appliance et ISE utilisent des certificats pour s’authentifier mutuellement et assurer le succès de la connexion. Ainsi, chaque certificat présenté par une entité devrait être reconnaissable par une autre. Par exemple, si le certificat client de Secure Web Appliance est autosigné, le même certificat doit être présent dans la liste des certificats approuvés sur le ou les serveurs ISE appropriés. De même, si le certificat client de l’appliance Web est signé par une autorité de certification, le certificat racine de l’autorité de certification doit être présent sur le ou les serveurs ISE appropriés. Des exigences similaires s’appliquent aux certificats Admin et pxGrid liés au serveur ISE.
Les exigences du certificat et l’installation sont décrites dans Survol du moteur du service de vérification des identités Identity Services Engine (ISE) et du service du connecteur d’identité passive ISE (ISE-PIC). Si vous rencontrez des problèmes liés aux certificats, vérifiez les éléments suivants :
Si vous utilisez des certificats signés par une autorité de certification :
Vérifiez que l’autorité de certification racine qui signe les certificats Admin et pxGrid est présente dans Secure Web Appliance.
Vérifiez que le certificat de signature de l’autorité de certification racine pour le certificat client de l’appliance Web se trouve dans la liste des certificats approuvés sur le serveur ISE.
Si vous utilisez des certificats autosignés :
Vérifiez que le certificat client d’appliance Web, généré sur le Secure Web Appliance et téléchargé, a été chargé sur le serveur ISE et qu’il est présent dans la liste des certificats approuvés des serveurs ISE.
Vérifiez que les certificats ISE Admin et pxGrid (générés sur le serveur ISE et téléchargés) ont été téléchargés dans Secure Web Appliance et sont présents dans la liste de certificats ISE correspondante.
Certificats expirés :
Confirmez que les certificats valides au moment du téléchargement n’ont pas expiré.
Le fragment de code du journal de service ISE suivant montre un délai de connexion client en raison d’un certificat manquant ou non valide.
Ces entrées de journal de niveau trace sur le Secure Web Appliance montrent qu’après 30 secondes, les tentatives de connexion au serveur ISE sont terminées.
Si la connexion au serveur ISE échoue pendant le test de démarrage sur la page du moteur de services de vérification des identités (Se connecter aux services ISE/ISE-PIC), vérifiez la connectivité au serveur ISE configuré sur les ports 443 et 5222.
Le port 5222 est le port officiel du protocole XMPP (Extensible Messaging and Presence Protocol) client-serveur et est utilisé pour la connexion au serveur ISE. il est également utilisé par des applications telles que Jabber et Google Talk. Notez que certains pare-feu sont configurés pour bloquer le port 5222.
Les outils qui peuvent être utilisés pour vérifier la connectivité comprennent tcpdump
Les problèmes suivants peuvent provoquer un échec lorsque Secure Web Appliance tente de se connecter au serveur ISE :
Les licences sur le serveur ISE ont expiré.
L’état du nœud pxGrid est « non connecté » sur la page Administration > pxGrid Services (Administration > Services pxGrid) du serveur ISE. Assurez-vous que l’option Enable Auto-Registration (activer l’enregistrement automatique) est sélectionnée sur cette page.
Des clients Secure Web Appliance obsolètes (en particulier « test_client » ou « pxgrid_client ») sont présents sur le serveur ISE. Ceux-ci doivent être supprimés; voir Administration > pxGrid Services > Clients (Administration > Services pxGrid > Clients) sur le serveur ISE.
Secure Web Appliance tente de se connecter au serveur ISE avant que tous ses services soient opérationnels.
Certaines modifications sur le serveur ISE, telles que les mises à jour de certificats, nécessitent le redémarrage du serveur ISE ou des services qui y sont exécutés. Toute tentative de connexion au serveur ISE pendant ce délai échouera; cependant, la connexion finit par réussir.
Cette section contient des explications concernant les messages de journalisation critiques liés à ISE sur les Secure Web Appliance :
Tue Mar 24 03:56:47 2015 Critical: ISEEngineManager: Waiting for client connection timed out (En attente de la connexion du client expiré)
Le processus ISE de Secure Web Appliancen’a pas réussi à se connecter au serveur ISE pendant 30 secondes.
Tue Mar 24 03:56:47 2015 Critical: ISEEngineManager: WSA Client cert/key missing. (Certificat ou clé du client WSA manquant)
Veuillez vérifier la configuration ISE
Le certificat client de l’appliance Web et la clé n’ont pas été téléchargés ou générés sur la page de configuration du moteur Identity Services Engine de Secure Web Appliance.
Tue Mar 24 03:56:47 2015 Critical: ISEEngineManager: ISE service exceeded maximum allowable disconnect duration with ISE server
(le service ISE a dépassé la durée de déconnexion maximale autorisée avec le serveur ISE)
Le processus ISE de Secure Web Appliancen’a pas pu se connecter au serveur ISE pendant 120 secondes et s’est arrêté.
Tue Mar 24 03:56:47 2015 Critical: ISEEngineManager: Subscription to updates failed ... (Échec de l’abonnement aux mises à jour)
Le processus ISE de Secure Web Appliance n’a pas pu s’abonner au serveur ISE pour les mises à jour.
Tue Mar 24 03:56:47 2015 Critical: ISEEngineManager: Could not create ISE client: ...(Impossible de créer le client ISE)
Erreur interne lors de la création du client ISE de Secure Web Appliancepour la connexion du serveur ISE.
Tue Mar 24 03:56:47 2015 Critical: ISEEngineManager: Bulk Download thread failed: ... (Échec du téléchargement en bloc)
Erreur interne indiquant l’échec du téléchargement en bloc des groupes SGT lors de la connexion ou de la reconnexion.
Tue Mar 24 03:56:47 2015 Critical: ISEService: Unable to start service. Error: ... (Impossible de démarrer le service.)
Le service ISE de Secure Web Appliance n’a pas pu démarrer.
Tue Mar 24 03:56:47 2015 Critical: ISEService: Unable to send ready signal ... (Impossible d’envoyer le signal de disponibilité)
Le service ISE de Secure Web Appliance n’a pas pu envoyer de signal de disponibilité à Heimdall.
Tue Mar 24 03:56:47 2015 Critical: ISEService: Unable to send restart signal ... (Impossible d’envoyer le signal de redémarrage)
Le service ISE de Secure Web Appliance n’a pas pu envoyer de signal de redémarrage à heimdall.
Lors de la création et de la modification de catégories d’URL personnalisées et externes et de la fourniture d’un fichier de flux en direct externe (au format de flux Cisco ou au format de flux Office 365), vous devez cliquer sur le bouton Get File (Obtenir le fichier) pour établir la connexion au serveur indiqué, ainsi que pour télécharger et analyser le fichier. La progression et les résultats de ce processus sont affichés; si des erreurs se produisent, elles sont décrites. Corrigez les problèmes et réessayez de télécharger le fichier.
Il existe quatre types d’erreurs possibles :
Exceptions de connexion
Failed to resolve server hostname (Échec de la résolution du nom d’hôte du serveur) : l’URL fournie comme emplacement du fichier de flux n’est pas valide;
indiquez une URL correcte pour résoudre ce problème.
Erreurs de protocole
Authentication failed due to invalid credentials (Échec de l’authentification en raison d’informations d’authentification non valides) : échec de l’authentification du serveur;
indiquez le nom d’utilisateur et la phrase secrète corrects pour la connexion au serveur.
The requested file is not found on the server (Le fichier demandé est introuvable sur le serveur) : l’URL fournie pour le fichier de flux pointe vers une ressource non
valide. Assurez-vous que le bon fichier est disponible sur le serveur précisé.
Erreurs de validation de contenu
Failed to validate the content of the field (Échec de la validation du contenu du champ) : le contenu du fichier de flux n’est pas valide.
Erreurs d’analyse
Le fichier au format de flux Cisco .csv doit contenir une ou plusieurs entrées, où chaque entrée est une adresse de site ou
une chaîne d’expression régulière valide, suivie d’une virgule, puis du type d’adresse (qui peut être un site ou une expression régulière). Si cette convention n’est pas suivie pour une entrée du fichier de flux, une erreur d’analyse est renvoyée.
De plus, n’incluez pas http:// ou https:// dans une entrée site dans le fichier, sous peine d’entraîner une erreur. En d’autres termes, www.exemple.com est analysé correctement, tandis que http://www.exemple.com produit une erreur.
Le fichier de flux XML obtenu à partir d’un serveur Microsoft est analysé par un analyseur syntaxique XML standard. Toute incohérence dans les balises XML est également signalée comme des erreurs d’analyse.
Le numéro de ligne d’une erreur d’analyse est inclus dans le journal. Par exemple :
Line 8: 'www.anyurl.com' - Line is missing address or address-type field (Ligne 8 : « www.anyurl.com » : champ d’adresse ou de type d’adresse manquant sur la ligne). La ligne 8 du fichier de flux
ne contient pas d’adresse ou de modèle d’expression régulière, ni de type d’adresse.
Line 12: 'www.test.com' - Unknown address type. (Ligne 12 : « www.test.com » – Type d’adresse inconnu). La ligne 12 a un type d’adresse non valide; la valeur addresstype
peut être site ou regex.
Lorsque vous fournissez un fichier .csv pour l’option External Live Feed Category > Cisco Feed Format (Catégorie de flux en direct externe > Format de flux Cisco) lors de la création et de la modification de catégories d’URL
personnalisées et externes, vous pouvez rencontrer l’erreur « 406 not acceptable » lors de la récupération du fichier si le
serveur de format de flux Cisco utilise le logiciel Internet Information Services (IIS) version 7 ou 8. De même, le journal
feedsd renverra un résultat comme : 31 May 2016 16:47:22 (GMT +0200) Warning: Protocol Error: ’HTTP error while fetching file from the server’ (31 mai 2016 16:47:22 (GMT +0200) Avertissement : Erreur de protocole : « Erreur HTTP lors de la récupération du fichier
sur le serveur »).
En effet, le type MIME par défaut pour les fichiers .csv sur IIS est application/csv plutôt que text/csv. Vous pouvez résoudre le problème en vous connectant au serveur IIS et en modifiant l’entrée MIME type pour les fichiers
.csv afin qu’elle corresponde à la valeur text/csv.
Si vous copiez et collez le contenu d’un fichier de flux .csv (texte) d’un système UNIX ou OS X vers un système Windows, un
retour à la ligne supplémentaire (\r) est ajouté automatiquement, ce qui peut rendre le fichier de flux mal formé.
Si vous créez manuellement le fichier .csv ou si vous transférez le fichier d’un système UNIX ou OS X vers un serveur Windows à l’aide de SCP, FTP ou POST, il ne devrait y avoir aucun problème.
Lorsqu’un groupe de politiques d’accès Web a une catégorie d’URL personnalisée définie sur Monitor (Superviser) et qu’un autre composant, comme les filtres de réputation Web ou le moteur DVS, prend la décision finale d’autoriser ou de bloquer une demande d’URL dans la catégorie d’URL personnalisée, l’entrée du journal d’accès pour la demande affiche la catégorie d’URL prédéfinie au lieu de la catégorie d’URL personnalisée.
Les transactions HTTPS dans les journaux d’accès semblent similaires aux transactions HTTP, mais avec des caractéristiques légèrement différentes. Les informations qui sont enregistrées dépendent de si la transaction a été explicitement envoyée ou redirigée de manière transparente vers le proxy HTTPS :
CONNECT. Cela est écrit dans le journal des accès lorsque la demande HTTPS a été explicitement envoyée au proxy HTTPS.
Lorsque le trafic HTTPS est déchiffré, les journaux d’accès contiennent deux entrées pour une transaction :
La méthode HTTP et l’URL déchiffrée. Par exemple, « GET https://ftp.exemple.com ».
L’URL complète n’est visible que lorsque le proxy HTTPS déchiffre le trafic.
AsyncOS pour le Web envoie un e-mail critique aux destinataires des alertes configurés lorsque le processus de journalisation interne abandonne les événements de transaction Web en raison d’une mémoire tampon pleine.
Par défaut, lorsque le proxy Web subit une charge très élevée, le processus de journalisation interne met en mémoire tampon les événements pour les enregistrer plus tard, lorsque la charge du proxy Web diminue. Quand la mémoire tampon de journalisation est complètement pleine, le proxy Web continue de traiter le trafic, mais le processus de journalisation n’enregistre pas certains événements dans les journaux d’accès ou dans le rapport de suivi Web. Cela peut se produire lors d’un pic du trafic Web.
Cependant, une mémoire tampon de journalisation pleine peut également se produire lorsque l’appliance est en dépassement de capacité pendant une période prolongée. AsyncOS pour le Web continue d’envoyer des e-mails critiques toutes les quelques minutes jusqu’à ce que le processus de journalisation ne supprime plus de données.
Le message critique contient le texte suivant :
Reporting Client: The reporting system is unable to maintain the rate of data being generated. Any new data generated will
be lost. (Client de rapports : Le système de rapports n’est pas en mesure de maintenir le débit des données générées. Toutes les nouvelles
données générées seront perdues.)
Si AsyncOS pour le Web envoie ce message critique de manière continue ou fréquente, l’appliance est peut-être en surcapacité. Communiquez avec l’assistance client de Cisco pour vérifier si vous avez besoin d’une capacité Secure Web Appliance supplémentaire.
Si vous souhaitez utiliser un analyseur de journaux tiers pour lire et analyser les journaux d’accès W3C, vous devrez peut-être inclure le champ « timestamp » (horodatage). Le champ timestamp (horodatage) de W3C affiche l’heure depuis l’époque UNIX et la plupart des analyseurs de journaux ne comprennent l’heure que dans ce format.
Lorsque le proxy HTTPS est activé, les politiques de déchiffrement prennent en charge toutes les décisions relatives aux politiques HTTPS. Vous ne pouvez plus définir l’appartenance à un groupe de politiques d’accès et de routage par HTTPS, et vous ne pouvez plus configurer les politiques d’accès pour bloquer les transactions HTTPS.
Si certaines appartenances à des groupes de politiques d’accès et de routage sont définies par HTTPS et si certaines politiques d’accès bloquent HTTPS, lorsque vous activez le proxy HTTPS, ces groupes de politiques d’accès et de routage sont désactivés. Vous pouvez choisir d’activer les politiques à tout moment, mais toutes les configurations liées à HTTPS sont supprimées.
Lorsque vous bloquez des fichiers Microsoft Office dans la section Block Object Type (Bloquer le type d’objet), il est possible que certains fichiers Microsoft Office ne soient pas bloqués.
Si vous devez bloquer tous les fichiers Microsoft Office, ajoutez application/x-ole dans le champ Block Personal MIME Types (Bloquer les types MIME personnalisés). Cependant, le blocage de ce type MIME personnalisé bloque également tous les types de formats d’objets composés Microsoft, tels que les fichiers Visio et certaines applications tierces.
Lorsque vous configurez Secure Web Appliance pour bloquer les types d’objets exécutables DOS, l’appliance bloque également les mises à jour pour Windows OneCare.
La désactivation d’un profil d’identification supprime ce dernier des politiques associées. Vérifiez que le profil d’identification est activé, puis ajoutez-le à nouveau à la politique.
Si plusieurs profils d’identification ont des critères identiques, AsyncOS affecte les transactions au premier profil d’identification qui correspond. Par conséquent, les transactions ne correspondent jamais aux profils d’identification identiques supplémentaires, et toutes les politiques qui s’appliquent à ces profils d’identification identiques ultérieurs ne sont jamais mises en correspondance ou appliquées.
Configurez l’appliance pour utiliser les adresses IP comme substitution lorsque le chiffrement des informations d’identification est activé.
Lorsque le chiffrement des informations d’authentification est activé et configuré pour utiliser des témoins comme type de substitution, l’authentification ne fonctionne pas avec les requêtes HTTPS ou FTP sur HTTP. En effet, le proxy Web redirige les clients vers le proxy Web lui-même pour l’authentification à l’aide d’une connexion HTTPS si le chiffrement des informations d’authentification est activé. Une fois l’authentification réussie, le proxy Web redirige les clients vers le site Web d’origine. Afin de continuer à identifier l’utilisateur, le proxy Web doit utiliser un moyen de substitution (l’adresse IP ou un témoin). Cependant, l’utilisation d’un témoin pour suivre les utilisateurs entraîne le comportement suivant si les demandes utilisent HTTPS ou FTP sur HTTP :
Par conséquent, les requêtes HTTPS et FTP sur HTTP correspondent uniquement aux politiques d’accès qui ne nécessitent pas d’authentification. En règle générale, elles correspondent à la politique d’accès globale, car elle ne nécessite jamais d’authentification.
Lorsque l’appliance utilise l’authentification basée sur les témoins, le proxy Web n’obtient pas les informations sur les témoins des clients pour les demandes HTTPS et FTP sur HTTP. Par conséquent, elle ne peut pas obtenir le nom d’utilisateur à partir du témoin.
Les demandes HTTPS et FTP sur HTTP correspondent toujours au profil d’identification en fonction des autres critères d’appartenance, mais le proxy Web n’invite pas les clients à s’authentifier, même si le profil d’identification l’exige. Au lieu de cela, le proxy Web définit le nom d’utilisateur sur NULL et considère l’utilisateur comme non authentifié.
Ensuite, lorsque la demande non authentifiée est évaluée par rapport à une politique, elle ne correspond qu’à une politique qui spécifie « Toutes les identités » et s’applique à « Tous les utilisateurs ». En règle générale, il s’agit de la politique globale, par exemple la politique d’accès globale.
Les clients de votre réseau utilisent l’indicateur d’état de connectivité de réseau (NCSI)
Secure Web Appliance utilise l’authentification NTLMSSP.
Le profil d’identification utilise des substitutions basées sur IP
Un utilisateur peut être identifié à l’aide des informations d’authentification de l’ordinateur au lieu de ses propres informations d’authentification et, par conséquent, être affecté à une politique d’accès incorrecte.
Solution :
Réduisez la valeur du délai d’expiration de substitution pour les informations d’authentification de l’ordinateur.
|
Step 1 |
Utilisez la commande d’interface de ligne de commande |
|
Step 2 |
Saisissez le délai d’expiration de substitution pour les informations d’authentification de l’ordinateur. |
Lorsque vous modifiez des paramètres tels que la politique d’accès, des profils d’identification et d’utilisateurs, sélectionnez un ou plusieurs profils d’identification ou une sélection de groupes et d’utilisateurs, les modifications prennent quelques minutes avant d’être appliquées.
L’outil de suivi des politiques peut émuler une demande d’un client, puis détailler comment le proxy Web traite cette demande. Il peut être utilisé pour suivre les demandes des clients et déboguer le traitement des politiques lors du dépannage de problèmes de proxy Web. Vous pouvez effectuer un suivi de base ou saisir des paramètres de suivi avancés et remplacer les options.
Note |
Lorsque vous utilisez l’outil de suivi des politiques, le proxy Web n’enregistre pas les demandes dans le journal des accès ou dans la base de données de rapports. |
L’outil de suivi des politiques évalue les demandes en fonction des politiques utilisées par le proxy Web uniquement. Il s’agit des politiques d’accès, de gestion HTTPS chiffré, de routage, de sécurité des données et d’analyse des programmes malveillants sortants.
Note |
Les politiques SOCKS et DLP externes ne sont pas évaluées par l’outil de suivi des politiques. |
Note |
Vous pouvez utiliser la commande maxhttpheadersize de l’interface de ligne de commande pour modifier la taille maximale de l’en-tête HTTP des demandes de proxy. L’augmentation
de cette valeur peut atténuer les échecs du suivi des politiques qui peuvent se produire lorsque l’utilisateur spécifié appartient
à un grand nombre de groupes d’authentification ou lorsque la taille de l’en-tête de réponse est supérieure à la taille maximale
actuelle. Consultez Commandes de l’interface de ligne de commande Secure Web Appliance pour plus d’informations sur cette commande.
|
|
Step 1 |
Choisissez System Administration > Policy Trace (Administration système > Suivi de politique). |
||||||||||
|
Step 2 |
Entrez l’URL dont vous voulez effectuer le suivi dans le champ Destination URL (URL de destination). |
||||||||||
|
Step 3 |
(Facultatif) Saisissez d’autres paramètres d’émulation :
|
||||||||||
|
Step 4 |
Cliquez sur Find Policy (Rechercher une politique). Le résultat du suivi de politique s’affiche dans le volet Results (Résultats).
|
Thèmes connexes
Vous pouvez utiliser les paramètres du volet Request Details (Détails de la demande) de la page Policy Trace (Suivi de politique), section Advanced (Avancé), afin de régler la demande d’analyse des programmes malveillants sortants pour ce suivi de politique.
|
Step 1 |
Développez la section Advanced (Avancé) de la page Policy Trace (Suivi de politique). |
||||||||||||||||
|
Step 2 |
Renseignez les champs du volet Request Details (Détails de la demande) selon vos besoins :
|
||||||||||||||||
|
Step 3 |
Cliquez sur Find Policy (Rechercher une politique). Le résultat du suivi de politique s’affiche dans le volet Results (Résultats). |
Vous pouvez utiliser les paramètres du volet Response Detail Overrides (Remplacement des détails des réponses) de la page Policy Trace (Suivi des politiques), section Advanced (Avancé), pour « altérer » certains aspects de la réponse aux politiques d’accès Web dans le cadre de ce suivi.
|
Step 1 |
Développez la section Advanced (Avancé) de la page Policy Trace (Suivi de politique). |
||||||||||||||
|
Step 2 |
Renseignez les champs du volet Response Detail Overrides (Remplacer les détails des réponses), au besoin :
|
||||||||||||||
|
Step 3 |
Cliquez sur Find Policy (Rechercher une politique). Le résultat du suivi de politique s’affiche dans le volet Results (Résultats). |
Voir la section Résolution des problèmes liés à la réputation et à l’analyse des fichiers.
Note |
Il s’agit d’un problème KVM qui peut changer à tout moment. |
Pour plus d’informations, consultez https://www.mail-archive.com/kvm@vger.kernel.org/msg103854.html and https://bugs.launchpad.net/qemu/+bug/1329956.
|
Step 1 |
Vérifiez les éléments suivants : cat /sys/module/kvm_intel/parameters/enable_apicv
|
|
Step 2 |
Si la valeur ci-dessus est définie sur Y : |
Si une appliance matérielle nécessite une réinitialisation matérielle, vous pouvez redémarrer le châssis de l’appliance à distance à l’aide d’un outil IPMI (Intelligent Platform Management Interface) tiers.
Restrictions
|
Step 1 |
Utilisez IPMI pour émettre une commande de redémarrage prise en charge à l’adresse IP attribuée au port de redémarrage à distance, que vous avez configuré plus tôt, avec les informations d’authentification requises. Par exemple, à partir d’une machine de type UNIX prenant en charge IPMI, vous pourriez exécuter la commande : Pour les modèles S195, S395 et S695, utilisez : où |
|
Step 2 |
Attendez au moins onze minutes que l’appliance redémarre. |
Il s’agit d’une liste partielle d’applications qui ne peuvent pas être utilisées lorsque Secure Web Appliance est déployé en mode transparent, car ils ne prennent pas en charge l’authentification.
Mozilla Thunderbird
Mises à jour d’Adobe Acrobat
HttpBridge
Subversion, par CollabNet
Microsoft Windows Update
Microsoft Visual Studio
Solution : Créez une classe d’utilisateurs pour l’URL qui ne nécessite pas d’authentification.
Lorsque la première requête client de l’utilisateur est une requête POST et que l’utilisateur doit toujours s’authentifier, le corps de la requête est perdu. Cela peut poser un problème lorsque la requête POST concerne une application avec la fonctionnalité de connexion unique de contrôle d’accès utilisée.
Solutions :
Demandez aux utilisateurs de s’authentifier d’abord auprès du proxy Web en demandant une autre URL dans le navigateur avant de se connecter à une URL qui utilise POST comme première demande.
Contournez l’authentification pour les URL qui utilisent POST comme première requête.
Note |
Lorsque vous utilisez le contrôle d’accès, vous pouvez contourner l’authentification pour l’URL du service d’assertion aux consommateurs (ACS) configurée dans la politique d’authentification de l’application. |
Si l’appliance et le proxy en amont utilisent l’authentification avec NTLMSSP, selon les configurations, l’appliance et le proxy en amont peuvent s’engager dans une boucle infinie de demande d’informations d’authentification. Par exemple, si le proxy en amont nécessite une authentification de base, mais que l’appliance nécessite une authentification NTLMSSP, l’appliance ne pourra jamais transmettre avec succès les informations d’authentification de base au proxy en amont. Cela est dû aux limites des protocoles d’authentification.
Configuration :
Secure Web Appliance et le serveur proxy en amont utilise l’authentification de base.
Le chiffrement des informations d’authentification est activé sur le Secure Web Appliance en aval.
Les demandes des clients échouent sur le proxy en amont, car le proxy Web reçoit un en-tête HTTP « Authorization » des clients, mais le serveur proxy en amont nécessite un en-tête HTTP « Proxy-Authorization ».
Si votre réseau contient un proxy en amont qui ne prend pas en charge les connexions FTP, vous devez créer une politique de routage qui s’applique à toutes les identités et uniquement aux demandes FTP. Configurez cette politique de routage pour accéder directement aux serveurs FTP ou à un groupe de proxy dont tous les proxys soutiennent les connexions FTP.
Les actions suivantes sur votre hôte virtuel équivalent au débranchement d’une appliance matérielle et ne sont pas prises en charge, en particulier au démarrage d’AsyncOS :
Problème
La connectivité réseau est perdue après avoir fonctionné précédemment.
Solution
Il s’agit d’un problème lié à KVM. Reportez-vous à la section « KVM : La connectivité réseau fonctionne initialement, puis échoue » dans la documentation d’OpenStack à l’adresse http://docs.openstack.org/admin-guide-cloud/content/section_network-troubleshoot.html
Problème
Les performances de l’appliance sont lentes, des problèmes de supervision se produisent et l’appliance affiche une utilisation du processeur inhabituellement élevée lors de l’exécution sur une machine virtuelle Ubuntu.
Solution
Installez les dernières mises à jour du système d’exploitation de l’hôte à partir d’Ubuntu.
Problème
Les problèmes liés aux appliances virtuelles fonctionnant sur les déploiements KVM peuvent être liés à des problèmes de configuration du système d’exploitation de l’hôte.
Solution
Consultez la section de dépannage et d’autres informations dans le Guide de déploiement et d’administration de la virtualisation, disponible à l’adresse suivante :
Dans les déploiements qui font appel à WCCP, le nombre maximal d’entrées de port est de 30 pour les ports HTTP, HTTPS et FTP combinés.
L’appliance permet de capturer et d’afficher les paquets TCP/IP et d’autres paquets transmis ou reçus sur le réseau auquel l’appliance est connectée.
Note |
La fonction de capture de paquets est similaire à la commande tcpdump d’Unix. |
Secure Web Appliance ne prend pas en charge la capture de paquets pour les interfaces NIC appairées. La capture de paquets sera appliquée uniquement pour l’interface active. Par exemple, si P1 et P2 sont appairées, P1 et P2 ne seront pas configurées dans l’interface utilisateur ou l’interface de ligne de commande.
|
Step 1 |
Choisissez Support and Help > Packet Capture (Assistance et aide > Capture de paquets). |
||||||||||||||
|
Step 2 |
(Facultatif) Cliquez sur Edit Settings (Modifier les paramètres) pour modifier les paramètres de capture de paquets.
(Facultatif) Envoyez et validez vos modifications de capture de paquets.
|
||||||||||||||
|
Step 3 |
Cliquez sur Start Capture (Commencer la capture). Pour arrêter manuellement une capture en cours, cliquez sur Stop Capture (Arrêter la capture). |
L’appliance enregistre l’activité du paquet capturée dans un fichier et stocke le fichier localement. Vous pouvez envoyer des fichiers de capture de paquets par FTP au service à la clientèle de Cisco à des fins de débogage et de dépannage.
Note |
Vous pouvez également vous connecter à l’appliance à l’aide du protocole FTP et en récupérant les fichiers de capture de paquets à partir du répertoire des captures. |
|
Step 1 |
Choisissez Support and Help > Packet Capture (Assistance et aide > Capture de paquets). |
|
Step 2 |
Sélectionnez le fichier de capture de paquets que vous souhaitez utiliser dans le volet Manage Packet Capture Files (Gestion des fichiers de capture de paquets). Si ce volet n’est pas visible, aucun fichier de capture de paquet n’a été stocké sur l’appliance. |
|
Step 3 |
Cliquez sur Download File (Télécharger le fichier) ou sur Delete Selected Files (Supprimer les fichiers sélectionnés), comme requis. |
Avant de communiquer avec le service d’assistance :
Vous pouvez utiliser l’appliance pour envoyer une demande d’assistance non urgente à l’assistance client de Cisco. Lorsque l’appliance envoie la demande, elle envoie également sa configuration. L’appliance doit être en mesure d’envoyer des courriels vers Internet pour permettre l’envoi d’une demande d’assistance.
Note |
Si vous avez un problème urgent, veuillez appeler un centre d’assistance mondiale Cisco. |
|
Step 1 |
Choisissez Support And Help > Contact Technical Support (Assistance et aide > Contacter l’assistance technique). |
|
Step 2 |
(Facultatif) Choisissez des destinataires supplémentaires pour la demande. Par défaut, la demande d’assistance et le fichier de configuration sont envoyés au service à la clientèle de Cisco. |
|
Step 3 |
Entrez vos coordonnées. |
|
Step 4 |
Entrez les détails du problème.
|
|
Step 5 |
Cliquez sur Envoyer. Un dossier d’incident est créé avec Cisco. |
Si vous déposez une demande d’assistance pour une appliance virtuelle de sécurité de contenu Cisco, vous devez fournir votre numéro de licence virtuelle (VLN), votre numéro de contrat et votre code d’identification de produit (PID).
Vous pouvez identifier votre PID en fonction des licences logicielles s’exécutant sur votre appliance virtuelle, en vous reportant à votre bon de commande ou en consultant le tableau suivant :
|
Fonctionnalité |
PID |
Description |
|---|---|---|
|
Web Security Essentials |
WSA-WSE-LIC= |
Inclut :
|
|
Web Security Premium |
WSA-WSP-LIC= |
Inclut :
|
|
Web Security Anti-Malware |
WSA-WSM-LIC= |
Inclut les signatures Sophos et Webroot Anti-Malware |
|
McAfee Anti-Malware |
WSA-AMM-LIC= |
— |
|
Cisco Secure Endpoint |
WSA-AMP-LIC= |
— |
L’option d’accès à distance permet à l’assistance client de Cisco d’accéder à distance à votre appliance à des fins d’assistance.
|
Step 1 |
Choisissez Support And Help > Remote Access (Assistance et aide > Accès à distance). |
||||||||
|
Step 2 |
Cliquez sur Enable (Activer). |
||||||||
|
Step 3 |
Remplissez les options d’accès à distance pour l’assistance client :
|
||||||||
|
Step 4 |
Envoyez et validez vos modifications. |
||||||||
|
Step 5 |
Recherchez la chaîne d’amorçage dans le message de réussite près du haut de la page et notez-la. Pour des raisons de sécurité, cette chaîne n’est pas stockée sur l’appliance et il n’y a aucun moyen de la retrouver ultérieurement. Conservez cette chaîne d’amorçage en lieu sûr. |
||||||||
|
Step 6 |
Transmettez la chaîne d’amorçage à votre représentant du service d’assistance. |
Commentaires