このドキュメントでは、クラウドベースプロキシ(セキュアWebゲートウェイ/SWG)経由でルーティングされ、Direct Internet Access(DIA)を使用していない場合に、Webサイトへのアクセスの問題を診断するための構造化された方法論について説明します。
一般的なプロキシ干渉インジケータには、次のものがあります。
s_proxy(Nginxプロキシ)またはm_proxy(モジュラプロキシサービス/MPS)が存在することで、トラフィックのプロキシ処理を確認できます。openssl s_client -connect www.example.com:443 -showcerts curlを使用します。このエラーは、SWGプロキシが宛先サーバの証明書を検証できないときに発生します。原因には、期限切れ、自己署名、または不完全な証明書チェーンが含まれます。
技術詳細:アップストリームサーバが中間証明書の欠落に対するAuthority Information Access(AIA)のフェッチに依存している場合、Nginxプロキシは失敗する可能性があります。これは、NginxがAIAをファイルスキャンプロキシサービスほど正常に処理しないためです。TLSハンドシェイク中のSNIおよびSANの不一致も障害をトリガーする可能性があります。
517エラーは、SWGプロキシのCRLまたはOCSPチェックで、アップストリームサーバの証明書が失効したことが検出されたことを意味します。
Cisco Secure Accessには、詳細なエラーバイパスを実現する新機能「証明書エラー処理オプション」が導入されており、復号化を完全に無効にする必要はありません。インスペクションによって証明書エラーを引き起こすドメインは、広範な「Do Not Decrypt」リストの代わりに、この機能を使用して管理できます。
この機能は、現在Umbrella SIGに存在します。CSAの機能要求の詳細
502エラーは、SWGプロキシが中継サーバとして動作しているときに、アップストリームサーバから無効な応答を受信したことを示します。
– ダウンストリーム:クライアントからSWGプロキシ
– アップストリーム:宛先サーバへのSWGプロキシ
プロトコルエラー、TCPリセット、または不正なヘッダーが原因で、エラーは常にアップストリーム接続で発生します。
原因:サーバーにはSWGでサポートされていない暗号が必要です(例: TLS_CHACHA20_POLY1305_SHA256)。
解決策:ドメインをSelective Decryptionリストに追加します。
テストコマンド:
プロキシを使用: curl -x proxy.sig.umbrella.com:80 -v xyz.com:80 curl -x swg-url-proxy-https.sigproxy.qq.opendns.com:443 -vvv -k "https://www.cnn.com" >> null
プロキシなし: curl -v www.xyz.com:80
Mac/Linux: curl -vvv -o /dev/null -k -L www.cnn.com
Windows: curl -vvv -o null -k -L www.cnn.com
原因:アップストリームサーバにはクライアント側の証明書が必要ですが、SWGはこの証明書をサポートしていません。
解決策:External Domains管理リスト(Umbrella SIG)またはBypass Secure Proxy(Cisco Secure Access)を使用して、プロキシからドメインをバイパスします。 HTTPSインスペクションだけをバイパスするだけでは不十分です。
原因:一部のサーバーは、HTTPSインスペクションが有効な場合に、SWGによって追加されたX-Forwarded-For (XFF)ヘッダーで要求を拒否します。
解決策:HTTPSおよびファイルインスペクションの有無で動作を比較します。XFFが存在する場合にのみエラーが発生する場合、Webサーバの設定が誤っている可能性があります。
例: curl https://www.xyz.com -k —header 'X-Forwarded-For: 1.1.1.1' -o /dev/null -w "Status Code: %{http_code}" -s
ステータスコード:502 curl https://www.xyz.com -k -o /dev/null -w "ステータスコード: %{http_code}" -s
ステータスコード:200
位置情報のXFFヘッダーが追加されます。サーバが処理できない場合は、502エラーが発生します。
SWGがファイルインスペクションを使用してファイルをスキャンできない場合(たとえば、保護されたファイル、範囲要求されたファイル、破損したファイルなど)、ダウンロードがブロックされ、「Blocked - Potentially Unwanted Application (Protected File)」が報告されます
潜在的に有害なカテゴリとレピュテーションブロック
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
18-May-2026
|
初版 |