Questo documento descrive la metodologia strutturata per la diagnosi dei problemi di accesso ai siti Web quando instradati tramite un proxy basato su cloud (Secure Web Gateway/SWG), ma non quando si utilizza Direct Internet Access (DIA).
Gli indicatori comuni di interferenza proxy includono:
s_proxy (proxy Nginx) o m_proxy (servizio proxy modulare/MPS) conferma che il traffico è proxy.openssl s_client -connect www.example.com:443 -showcerts curl con e senza proxy per confrontare il comportamento.Questo errore si verifica quando il proxy SWG non può convalidare il certificato del server di destinazione. Le cause includono catene di certificati scadute, autofirmate o incomplete.
Dettagli tecnici: Il proxy Nginx potrebbe avere esito negativo se il server upstream utilizza il recupero tramite AIA (Authority Information Access) per i certificati intermedi mancanti, in quanto Nginx non gestisce l'AIA in modo corretto come il servizio proxy di scansione dei file. La mancata corrispondenza di SNI e SAN durante l'handshake TLS può anche causare errori.
L'errore 517 indica che il controllo OCSP o CRL del proxy SWG ha rilevato che il certificato del server upstream è stato revocato.
Cisco Secure Access introdurrà una nuova funzionalità denominata "Opzioni di gestione degli errori dei certificati" per il bypass granulare degli errori senza disabilitare completamente la decrittografia. I domini che attivano errori di certificato a causa dell'ispezione possono essere gestiti utilizzando questa funzione invece di elenchi "Non decrittografare" ampi.
Questa funzione esiste in Umbrella SIG da oggi. Dettagli delle richieste di funzionalità per CSA.
L'errore 502 indica che il proxy SWG ha ricevuto una risposta non valida dal server upstream mentre agiva come intermediario.
- A valle: Da client a proxy SWG
- A monte: Proxy SWG su server di destinazione
L'errore si verifica sempre nella connessione a monte a causa di errori di protocollo, reimpostazioni TCP o intestazioni in formato non corretto.
Causa: Il server richiede una cifratura non supportata da SWG, ad esempio TLS_CHACHA20_POLY1305_SHA256.
Risoluzione: Aggiungere il dominio all'elenco di decrittografia selettiva.
Comandi di test:
Con proxy: curl -x proxy.sig.umbrella.com:80 -v xyz.com:80 curl -x swg-url-proxy-https.sigproxy.qq.opendns.com:443 -vv -k "https://www.cnn.com" >> null
Senza proxy: curl -v www.xyz.com:80
Mac/Linux: curl -vv -o /dev/null -k -L www.cnn.com
Windows: curl -vv -o null -k -L www.cnn.com
Causa: Il server upstream richiede certificati sul lato client che SWG non supporta.
Risoluzione: Ignorare il dominio dal proxy utilizzando l'elenco di gestione dei domini esterni (Umbrella SIG) o ignorare il proxy protetto (Cisco Secure Access). Ignorare solo l'ispezione HTTPS non è sufficiente.
Causa: Alcuni server rifiutano le richieste con l'intestazione X-Forwarded-For (XFF) aggiunta da SWG quando l'ispezione HTTPS è abilitata.
Risoluzione: Confronto del comportamento con/senza HTTPS e ispezione dei file. Se l'errore si verifica solo quando è presente XFF, è probabile che il server Web non sia configurato correttamente.
Esempio: curl https://www.xyz.com -k —header 'X-Forwarded-For: 1.1.1.1' -o /dev/null -w "Codice di stato: %{http_code}" -s
Codice stato: 502 curl https://www.xyz.com -k -o /dev/null -w "Codice di stato: %{http_code}" -s
Codice stato: 200
L'intestazione XFF viene aggiunta per la geolocalizzazione. Se il server non è in grado di elaborarlo, viene generato un errore 502.
Se SWG non riesce a eseguire la scansione di un file mediante l'ispezione dei file (ad esempio, file protetti, richiesti da intervalli o danneggiati), blocca il download e segnala - Bloccato - Applicazione potenzialmente indesiderata (file protetto)
Categorie e blocchi della reputazione potenzialmente dannosi
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
1.0 |
18-May-2026
|
Versione iniziale |