Configurare il proxy upstream in Secure Web Appliance

Opzioni per il download

  • PDF     (1.0 MB)
    Visualizza con Adobe Reader su diversi dispositivi
  • ePub     (818.1 KB)
    Visualizza in diverse app su iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (687.6 KB)
    Visualizza su dispositivo Kindle o tramite app Kindle su più dispositivi
Aggiornato:21 ottobre 2026
ID documento:225825

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Introduzione

In questo documento viene descritto come configurare il proxy upstream in Secure Web Appliance (SWA).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

  • Amministrazione SWA
  • Protocolli proxy e di rete di base

Cisco consiglia di installare i seguenti strumenti:

  • SWA fisico o virtuale
  • Accesso amministrativo all'interfaccia grafica (GUI) SWA
  • Accesso amministrativo all'interfaccia CLI (Command Line Interface) SWA

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione del proxy upstream

Per configurare un proxy upstream in SWA, attenersi alla procedura descritta di seguito.

Passi

Passi

Passaggio 1. (Facoltativo) Creazione di una categoria URL personalizzata per gli URL

Nota: Se si preferisce definire il proxy upstream per tutto il traffico, è possibile ignorare questo passaggio.

Passaggio 1.1. Dalla GUI, scegliere Web Security Manager, quindi fare clic su Categorie di URL personalizzati ed esterni.
Passaggio 1.2. Fare clic su Add Category per aggiungere una categoria URL personalizzata.
Passaggio 1.3. Assegnare un nome di categoria univoco.
Passaggio 1.4. (Facoltativo) Aggiungere Una Descrizione.

Passaggio 1.5. Da Ordine elenco, scegliere la prima categoria da posizionare in alto.

Passaggio 1.6. Dall'elenco a discesa Tipo di categoria, scegliere Categoria personalizzata locale.

Passaggio 1.7. Aggiungere gli URL desiderati nella sezione Siti.

Passaggio 1.8. Inviare.

Image - Create a Custom URL CategoryImmagine - Creazione di una categoria URL personalizzata

Passaggio 2. (Facoltativo) Creare un profilo di identificazione da utilizzare per il proxy upstream

Nota: Se si preferisce definire il proxy upstream per tutto il traffico, è possibile ignorare questo passaggio.

Passaggio 2.1. Dalla GUI, scegliere Web Security Manager, quindi fare clic su Profili di identificazione.
Passaggio 2.2. Fare clic su Aggiungi profilo per aggiungere un profilo.
Passaggio 2.3. Utilizzare la casella di controllo Abilita profilo di identificazione per abilitare il profilo o disabilitarlo rapidamente senza eliminarlo.
Passaggio 2.4. Assegnare un nome di profilo univoco.
Passaggio 2.5. (Facoltativo) Aggiungere Una Descrizione.
Passaggio 2.6. Dall'elenco a discesa Inserisci sopra, scegliere il punto in cui visualizzare il profilo nella tabella.

Passaggio 2.7. Se non si desidera autenticare gli utenti che utilizzano questo criterio, nella sezione Metodo di identificazione utente scegliere Esente da autenticazione/identificazione, altrimenti configurare i parametri di autenticazione. 

Passaggio 2.8. Nella finestra Definisci membri per subnet, lasciare vuoto questo campo per includere tutti gli indirizzi IP dei client, a meno che non si desideri passare attraverso il traffico per un determinato IP. 

Passaggio 2.9. (Facoltativo: se è necessario utilizzare un proxy a monte per utenti specifici che accedono a determinati siti Web, completare questo passaggio). Dalla sezione Avanzate, scegliere Categorie URL personalizzate, quindi Aggiungere la Categoria URL personalizzata creata nel passaggio 1.

Passaggio 2.10. Inoltra. 

Image - Create an Identification ProfileImmagine - Creazione di un profilo di identificazione

Passaggio 3. Creazione del proxy upstream 

Passaggio 3.1. Dalla GUI, scegliere Rete, quindi fare clic su Proxy upstream.

Passaggio 3.2. Fare clic su Aggiungi gruppo.

Passaggio 3.3. Assegnare un nome univoco.
Passaggio 3.4. Definire l'indirizzo proxy e il numero di porta.
Passaggio 3.5. (Facoltativo) Se si dispone di più proxy upstream, fare clic su Aggiungi riga per definire il proxy successivo.

Passaggio 3.6. (Facoltativo) Se sono stati immessi più proxy upstream dalla sezione Bilanciamento del carico, definire il metodo di bilanciamento del carico desiderato. 

  • Nessuno (failover): il proxy Web indirizza le transazioni a un proxy esterno nel gruppo. Tenta di connettere i proxy nell'ordine in cui sono elencati. Se non è possibile raggiungere un proxy, il proxy Web tenta di connettersi a quello successivo nell'elenco.
  • Meno connessioni: il proxy Web tiene traccia del numero di richieste attive con proxy diversi nel gruppo e indirizza una transazione al proxy che attualmente gestisce il minor numero di connessioni.
  • Basato su hash (utilizzato meno di recente): il proxy Web indirizza una transazione al proxy che ha ricevuto meno di recente una transazione se tutti i proxy sono attualmente attivi. Questa impostazione è simile all'arrotondamento robin, con la differenza che il proxy Web prende in considerazione anche le transazioni ricevute da un proxy (membro) che si trovano in un gruppo proxy diverso. In altre parole, se un proxy è elencato in più gruppi di proxy, è meno probabile che l'opzione "utilizzata meno di recente" sovraccarichi il proxy.
  • Round-Robin: il proxy Web esegue il ciclo delle transazioni equamente tra tutti i proxy del gruppo nell'ordine elencato.

Passaggio 3.7. Scegliere l'opzione Gestione errori corrispondente al criterio interno.

  • Connetti direttamente: invia le richieste direttamente ai server di destinazione.
  • Elimina richieste: ignora le richieste senza inoltrarle.

Passaggio 3.8. Inoltrare.

Image - Add Upstream Proxy GroupImmagine - Aggiungi gruppo proxy upstream

Passaggio 4. (Facoltativo) Caricare il certificato di decrittografia

Nota: Se il proxy upstream non sta decrittografando il traffico o il relativo server CA (Certification Authority) è già considerato attendibile nell'area SWA, è possibile ignorare questo passaggio.

Passaggio 4.1. Dalla GUI, selezionare Network (Rete), quindi fare clic su Certificate Management (Gestione certificati).

Passaggio 4.2. Dalla sezione Gestione certificati, fare clic su Gestisci certificati radice attendibili.

Image - Manage Trusted Root CertificateImmagine - Gestisci certificato radice attendibile

Passaggio 4.3. Sottomettere e confermare le modifiche.

Attenzione: se sono richiesti certificati CA radice e intermedi, caricare prima il certificato CA radice, quindi fare clic su Invia e Conferma. Al termine del commit, importare il certificato CA intermedio, quindi inviare nuovamente ed eseguire il commit delle modifiche.

Passaggio 5. Configurare i criteri di routing

Passaggio 5.1. Dalla GUI, selezionare Web Security Manager, quindi fare clic su Routing Policy.

Passaggio 5.2. (Facoltativo) Se si desidera utilizzare il proxy upstream per utenti o siti Web specifici, fare clic su Aggiungi criterio, quindi scegliere il profilo di identificazione creato nel passaggio 2. 

Image - Adding ID Profile to Routing PolicyImmagine - Aggiunta del profilo ID ai criteri di routing

Passaggio 5.3. Per le impostazioni richieste che si preferisce nel proxy upstream, fare clic sul collegamento Destinazione di routing e selezionare il gruppo proxy upstream creato nel passaggio 3.

Image - Configuring Routing DestinationImmagine - Configurazione della destinazione di instradamento

Nota: Se si preferisce che tutto il traffico utilizzi il proxy upstream, in Criteri di routing globali selezionare il proxy upstream desiderato.

Passaggio 5.4. Sottomettere e confermare le modifiche.

Passaggio 6. (Facoltativo) Configurazione delle impostazioni di timeout di mancata risposta del proxy upstream

Suggerimento: si consiglia di non modificare questi valori a meno che non se ne conosca il comportamento e l'impatto potenziale.

Passaggio 6.1. Accedere alla CLI ed eseguire advancedproxyconfig.

Passaggio 6.2. Selezionare VARIE.

Passaggio 6.3. Premere Invio fino a quando non viene visualizzato Enter minimum idle timeout per verificare che il proxy upstream non risponda (in secondi). È possibile configurare la quantità minima di tempo, in modo che SWA attenda di riprovare il proxy a monte precedentemente dichiarato malato. Il valore predefinito è 10 secondi.

Passaggio 6.4. Premere Invio per procedere all'impostazione successiva. Quando si definisce il timeout di inattività massimo per il controllo di un proxy upstream non rispondente, notare se questo valore di timeout viene raggiunto prima che il numero configurato di tentativi di riconnessione sia esaurito (passo 3), il proxy upstream viene considerato offline.

Passaggio 6.5. Continuare a premere Invio, finché non si esce dalla procedura guidata, eseguire il commit per salvare le modifiche.

Registrazione

Log accessi

Nei log degli accessi, il traffico indirizzato al proxy upstream viene visualizzato come DEFAULT_PARENT seguito dal nome del proxy upstream. Ecco un esempio:

1775659642.780 462 10.20.3.15 TCP_MISS_SSL/200 129 CONNECT tunnel://www.cisco.com:443/ "AMOJARRA\amojarra" DEFAULT_PARENT/10.48.48.182 - DECRYPT_WEBCAT_7-DPurl-Auith-NONE-NONE-NONE-DefaultGroup-NONE <"IW_comp",8.7,1,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"IW_comp",-,"-","Computers and Internet","-","Unknown","Unknown","-","-",2.23,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -

Log proxy

Dai log proxy è possibile verificare lo stato di integrità dei proxy a monte. 

Suggerimento: È possibile filtrare in base al peer per esaminare i log correlati al proxy upstream.

Di seguito sono riportati alcuni esempi di quanto è stato configurato con i tentativi di riconnessione nel passaggio 3 a due volte. Dopo il secondo errore di connessione al proxy upstream, il proxy upstream viene dichiarato inattivo e SWA rimuove questo proxy upstream dall'elenco fino al riavvio del processo proxy:

Thu Apr  2 13:52:35 2026 Info: PROX_CONNTRACK : 940 : [15968:0] Peer-upstream 10.48.48.182:3128 was healthy, now sick. 
Thu Apr  2 13:52:36 2026 Info: PROX_CONNTRACK : 940 : [15968:0] Peer 10.48.48.182:3128 was sick, now healthy.
...
Thu Apr  2 13:59:37 2026 Info: PROX_CONNTRACK : 60 : [71197:0] Peer 10.48.48.183:3128 remains sick after 2 failures.
Thu Apr  2 13:59:39 2026 Warning: PROX_CONNTRACK : 70 : [71197:0] Peer-upstream 10.48.48.183:3128 declared dead.

Nota: Se il proxy upstream non risponde alle richieste SYN di TCP, non restituisce un codice di risposta HTTP o restituisce una risposta HTTP 504 (timeout del gateway); SWA considera il proxy a monte non disponibile e ne modifica lo stato da Integro a malata.

Suggerimento: Il proxy a monte viene considerato integro se restituisce un'intestazione VIA.

Contenuto correlato

Cronologia delle revisioni

Revisione Data di pubblicazione Commenti
2.0
21-Oct-2026
Aggiornato Introduzione, ortografia, grammatica, spaziatura, righe orizzontali inserite per separare le sezioni per la leggibilità, avvisi CCW fissi.
1.0
28-Apr-2026
Versione iniziale
TAC Authored

Contributo dei tecnici Cisco

  • Amirhossein Mojarrad
    Tecnico di consulenza

Questo documento ti è stato utile?

FeedbackFeedback

Contattaci