Secure Web Applianceのパケットフローの理解

はじめに

このドキュメントでは、プロキシ設定ネットワーク(特にSecure Web Appliance(SWA))のネットワークフローについて説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• 基本的なTCP/IPの概念
• プロキシ設定に関する基本的な知識。
• プロキシの環境で使用される認証メカニズムに関する基本的な知識。

この記事では、次の略語を使用します。

TCP:Transmission Control Protocol（伝送制御プロトコル）

UDP:User Datagram Protocol（ユーザデータグラムプロトコル）

IP:Internet Protocol（インターネットプロトコル）

GRE：総称ルーティングカプセル化

HTTP：ハイパーテキスト転送プロトコル。

HTTPS:Hypertext Transfer Protocol Secure（ハイパーテキスト転送プロトコルによるセキュリティ）。

URL:ユニフォームリソースロケータ

TLS:Transport Layer Security（トランスポート層セキュリティ）

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

プロキシ導入の種類 

TLSハンドシェイク

HTTPSのTLSハンドシェイクは、クライアントとサーバがインターネット経由で通信し、セキュアな接続を提供する際に発生します。このプロセスでは、通信する2つのアプリケーション間のプライバシーとデータの整合性が維持されます。これは、クライアントとサーバが以降のすべての送信に関する暗号化規格とコードに合意する一連の手順を通じて動作します。ハンドシェイクの目的は、第三者による不正なアクセスや操作を防止することです。また、偽装を排除するために、通信相手のIDも認証します。このプロセスは、送信中のデータの安全性を確保するため、HTTPSで重要です。

TLSハンドシェイクの手順を次に示します。

1. Client Hello：クライアントがhelloメッセージを使用してハンドシェイクプロセスを開始します。このメッセージには、クライアントのTLSバージョン、サポートされている暗号スイート、「クライアントランダム」と呼ばれるランダムバイト文字列が含まれています。

2. Server Hello：サーバはhelloメッセージで応答します。このメッセージには、サーバが選択したTLSバージョン、選択した暗号スイート、「サーバランダム」と呼ばれるランダムバイト文字列、およびサーバのデジタル証明書が含まれます。必要に応じて、サーバはクライアントのデジタル証明書に対して相互認証も要求します。

3. クライアントによるサーバ証明書の確認：クライアントは、サーバのデジタル証明書を、それを発行した認証局と照合します。これにより、クライアントが正規のサーバと通信していることが保証されます。

4. プレマスターシークレット：クライアントは「プレマスターシークレット」と呼ばれるランダムなバイト文字列を送信し、セッションキーの作成に使用します。クライアントはこのプリマスターシークレットをサーバ公開キーで暗号化するため、サーバだけが秘密キーで復号化できます。

5. マスターシークレット：クライアントとサーバの両方が、プレマスターシークレットとhelloメッセージのランダムバイト文字列を使用して、同じ「マスターシークレット」を個別に計算します。 この共有秘密がセッションキーを生成する基礎となります。

6. Client Finished：クライアントはセッションキーを使用して暗号化された「Finished」メッセージを送信し、ハンドシェイクのクライアント部分の完了を通知します。

7. Server Finished：サーバから「Finished」メッセージが送信されます。このメッセージもセッションキーで暗号化されており、ハンドシェイクのサーバ部分の完了を通知します。

HTTP応答コード

1xx：情報

2xx：成功

3xx：リダイレクト

4xxコード：クライアントエラー

5xx：サーバエラー

明示的な展開

Here....

認証を使用しない明示的な導入でのHTTPトラフィック 

クライアントおよびSWA

ネットワークトラフィックは、クライアントのIPアドレスとSWAプロキシインターフェイスのIPアドレスの間で送受信されます（通常はP1インターフェイスですが、プロキシの設定によってはP2または管理インターフェイスになる場合があります）。

クライアントからのトラフィックは、TCPポート80または3128を経由してSWAに送信されます（デフォルトのSWAプロキシポートはTCP 80および3128です。この例では、ポート3128を使用します）  

• TCPハンドシェイク。 
• クライアントからのHTTP Get（宛先IP = SWA IP、宛先ポート= 3128） 
• プロキシからのHTTP応答（送信元IP = SWA）
• データ転送
• TCP接続の終了（4ウェイハンドシェイク）

イメージクライアントからSWA、HTTP明示的モード

SWAおよびWebサーバ

ネットワークトラフィックは、プロキシのIPアドレスとWebサーバのIPアドレスの間で発生します。

SWAからのトラフィックはTCPポート80を宛先とし、ランダムなポート（プロキシポートではない）を送信元とします 

• TCPハンドシェイク。 
• プロキシからのHTTP Get（宛先IP = Webサーバ、宛先ポート= 80） 
• WebサーバからのHTTP応答（送信元IP =プロキシサーバ） 
• データ転送
• TCP接続の終了（4ウェイハンドシェイク）

イメージ – WebサーバへのHTTP-SWA-Explicit-no cache

クライアントからのHTTP Getの例を次に示します 

イメージ – SWA HTTP GETへのクライアント – 明示的

これは、クライアントからSWA、Webサーバ、そして最終的にクライアントに戻るトラフィックのフロー全体を表しています。

イメージ – すべてのトラフィックのHTTP明示的 – キャッシュなし

注：トラフィックの各ストリームは異なる色で区別されます。クライアントからSWAへのフローは1色で、SWAからWebサーバへのフローは別の色です。

イメージ – トラフィックフローHTTP明示 – キャッシュなし

アクセスログの例を次に示します。 

1706172876.686 224 10.61.70.23 TCP_MISS/200 1721 GET http://www.example.com/ - DIRECT/www.example.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,1,"-",0,0,0,1,"-",-,-,-,"-",1,-,"-","-",-,-,"IW_ref",-,"Unknown","Reference","-","Unknown","Unknown","-","-",61.46,0,-,"Unknown","-",1,"-",-,-,"-","-",-,-,"-",-,-> - - [ Request Details: ID = 10, User Agent = "curl/8.4.0", AD Group Memberships = ( NONE ) - ] [ Tx Wait Times (in ms): 1st byte to server = 108, Request Header = 0, Request to Server = 0, 1st byte to client = 3, Response Header = 0, Client Body = 0 ] [ Rx Wait Times (in ms): 1st request byte = 0, Request Header = 0, Client Body = 0, 1st response byte = 106, Response header = 0, Server response = 1, Disk Cache = 0; Auth response = 0, Auth total = 0; DNS response = 0, DNS total = 2, WBRS response = 0, WBRS total = 0, AVC response = 0, AVC total = 0, DCA response = 0, DCA total = 0, McAfee response = 0, McAfee total = 0, Sophos response = 0, Sophos total = 0, Webroot response = 0, Webroot total = 0, Anti-Spyware response = 0, Anti-Spyware total = 1, AMP response = 0, AMP total = 0; Latency = 4; "25/Jan/2024:09:54:36 +0100" ][Client Port = 65238, Server IP = 10.184.216.34, Server Port = 80]

キャッシュされたデータを持つトラフィック

これは、データがSWAキャッシュにある場合の、クライアントからSWAへのトラフィックのフロー全体を表します。  

イメージ – HTTP明示的キャッシュデータ

注：ご覧のように、WebサーバはHTTP応答304: Cache not Modifiedを返します。（この例では、パケット番号1947）

イメージ：キャッシュを使用したフローHTTP明示的

HTTP応答304の例を次に示します

イメージ：HTTP明示的304応答

アクセスログの例を次に示します。 

1706173001.489 235 10.61.70.23 TCP_REFRESH_HIT/200 1721 GET http://www.example.com/ - DIRECT/www.example.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,1,"-",0,0,0,1,"-",-,-,-,"-",1,-,"-","-",-,-,"IW_ref",-,"Unknown","Reference","-","Unknown","Unknown","-","-",58.59,0,-,"Unknown","-",1,"-",-,-,"-","-",-,-,"-",-,-> - - [ Request Details: ID = 150, User Agent = "curl/8.4.0", AD Group Memberships = ( NONE ) - ] [ Tx Wait Times (in ms): 1st byte to server = 110, Request Header = 0, Request to Server = 0, 1st byte to client = 2, Response Header = 0, Client Body = 0 ] [ Rx Wait Times (in ms): 1st request byte = 0, Request Header = 0, Client Body = 0, 1st response byte = 119, Response header = 0, Server response = 0, Disk Cache = 0; Auth response = 0, Auth total = 0; DNS response = 0, DNS total = 0, WBRS response = 0, WBRS total = 0, AVC response = 0, AVC total = 0, DCA response = 0, DCA total = 0, McAfee response = 0, McAfee total = 0, Sophos response = 0, Sophos total = 0, Webroot response = 0, Webroot total = 0, Anti-Spyware response = 0, Anti-Spyware total = 1, AMP response = 0, AMP total = 0; Latency = 1; "25/Jan/2024:09:56:41 +0100" ][Client Port = 55709, Server IP = 10.184.216.34, Server Port = 80]

認証を使用しない明示的な導入でのHTTPトラフィック 

クライアントおよびSWA

ネットワークトラフィックは、クライアントのIPアドレスとSWAプロキシインターフェイスのIPアドレスの間で送受信されます（通常はP1インターフェイスですが、プロキシの設定によってはP2または管理インターフェイスにすることもできます）。

クライアントからのトラフィックは、TCPポート80または3128を経由してSWAに送信されます（デフォルトのSWAプロキシポートはTCP 80および3128です。この例では、ポート3128を使用します）  

• TCPハンドシェイク。 
• クライアントからのHTTP CONNECT（宛先IP = SWA、宛先ポート= 3128） 
• プロキシからのHTTP応答（送信元IP = SWA）
• Client HelloとURLのSNI（送信元IP =クライアント）
• Server Hello（送信元IP = SWA）
• サーバキー交換（送信元IP = SWA） 
• クライアントキー交換（送信元IP =クライアント） 
• データ転送
• TCP接続の終了（4ウェイハンドシェイク）

イメージ – SWAへのHTTPSクライアント – 明示的 – キャッシュなし

Server Name Indication(SNI)にWebサーバのURLが表示されているように、クライアントからSWAへのClient Helloについて次に詳細を示します。この例では、www.example.comであり、クライアントは17個の暗号スイートをアドバタイズしています。

イメージ – HTTPSクライアントhello – 明示的 – SWAへのクライアント

ヒント：このフィルタをWiresharkで使用して、URL/SNIを検索できます：tls.handshake.extensions_server_name == "www.example.com"

SWAがクライアントに送信した証明書の例を次に示します。 

イメージ – HTTPS証明書 – 明示的 – クライアントへのSWA

SWAおよびWebサーバ

ネットワークトラフィックは、プロキシのIPアドレスとWebサーバのIPアドレスの間で発生します。

SWAからのトラフィックはTCPポート443宛てです（プロキシポートではありません） 

• TCPハンドシェイク。 
• クライアントHello（宛先IP = Webサーバ、宛先ポート= 443） 
• Server Hello（送信元IP = Webサーバ） 
• データ転送
• TCP接続の終了（4ウェイハンドシェイク）

イメージ – HTTPS – 明示的 – WebサーバへのSWA

SWAが12の暗号スイートをアドバタイズしたことがわかるように、SWAからWebサーバへのClient Helloの詳細を次に示します。

イメージ – HTTPSクライアントHello - WebサーバへのSWA – キャッシュなし

注：この出力に示されている暗号スイートは、クライアントからSWAへの「Client Hello」の暗号スイートとは異なります。これは、このトラフィックを復号化するように設定されたSWAが独自の暗号を使用するためです。

ヒント:SWAからWebサーバへのサーバキー交換では、Webサーバ証明書が表示されます。ただし、アップストリームプロキシがSWAの設定を検出すると、Webサーバ証明書の代わりにその証明書が表示されます。

クライアントからのHTTP CONNECTの例を次に示します。 

イメージ：クライアントHTTP接続

これは、クライアントからSWA、Webサーバ、そして最終的にクライアントに戻るトラフィックのフロー全体を表しています。

イメージ – 完全なHTTPS明示的 – キャッシュなし

注：トラフィックの各ストリームは異なる色で区別されます。クライアントからSWAへのフローは1色で、SWAからWebサーバへのフローは別の色です。

イメージ – HTTPSフロー – 明示的 – キャッシュなし

アクセスログの例を次に示します。 

1706174571.215 582 10.61.70.23 TCP_MISS_SSL/200 39 CONNECT tunnel://www.example.com:443/ - DIRECT/www.example.com - DECRYPT_WEBCAT_7-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"IW_ref",-,"-","Reference","-","Unknown","Unknown","-","-",0.54,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - - [ Request Details: ID = 1600, User Agent = "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:122.0) Gecko/20100101 Firefox/122.0", AD Group Memberships = ( NONE ) - ] [ Tx Wait Times (in ms): 1st byte to server = 113, Request Header = 0, Request to Server = 0, 1st byte to client = 113, Response Header = 0, Client Body = 79 ] [ Rx Wait Times (in ms): 1st request byte = 0, Request Header = 0, Client Body = 0, 1st response byte = 0, Response header = 0, Server response = 344, Disk Cache = 0; Auth response = 0, Auth total = 0; DNS response = 0, DNS total = 0, WBRS response = 0, WBRS total = 0, AVC response = 0, AVC total = 0, DCA response = 0, DCA total = 0, McAfee response = 0, McAfee total = 0, Sophos response = 0, Sophos total = 0, Webroot response = 0, Webroot total = 0, Anti-Spyware response = 0, Anti-Spyware total = 0, AMP response = 0, AMP total = 0; Latency = 0; "25/Jan/2024:10:22:51 +0100" ][Client Port = 24953, Server IP = 10.184.216.34, Server Port = 443]
1706174571.486 270 10.61.70.23 TCP_MISS_SSL/200 1106 GET https://www.example.com:443/ - DIRECT/www.example.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,1,"-",0,0,0,1,"-",-,-,-,"-",1,-,"-","-",-,-,"IW_ref",-,"Unknown","Reference","-","Unknown","Unknown","-","-",32.77,0,-,"Unknown","-",1,"-",-,-,"-","-",-,-,"-",-,-> - - [ Request Details: ID = 1630, User Agent = "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:122.0) Gecko/20100101 Firefox/122.0", AD Group Memberships = ( NONE ) - ] [ Tx Wait Times (in ms): 1st byte to server = 0, Request Header = 0, Request to Server = 0, 1st byte to client = 3, Response Header = 0, Client Body = 0 ] [ Rx Wait Times (in ms): 1st request byte = 0, Request Header = 0, Client Body = 0, 1st response byte = 264, Response header = 0, Server response = 2, Disk Cache = 0; Auth response = 0, Auth total = 0; DNS response = 0, DNS total = 0, WBRS response = 0, WBRS total = 1, AVC response = 0, AVC total = 0, DCA response = 0, DCA total = 0, McAfee response = 0, McAfee total = 0, Sophos response = 0, Sophos total = 0, Webroot response = 0, Webroot total = 0, Anti-Spyware response = 0, Anti-Spyware total = 1, AMP response = 0, AMP total = 0; Latency = 2; "25/Jan/2024:10:22:51 +0100" ][Client Port = 24953, Server IP = 10.184.216.34, Server Port = 443]

注:HTTPSトラフィックの透過的な導入で確認できるように、アクセスログには2つの行があります。最初の行はトラフィックが暗号化された時点で、CONNECTと表示され、WebサーバのURLはtunnel://で始まります。SWAで復号化が有効になっている場合、2行目にはGETが含まれ、URL全体がHTTPSで始まります。これは、トラフィックが復号化されたことを意味します。

パススルーHTTPSトラフィック

トラフィックをパススルーするようにSWAを設定した場合のフロー全体を次に示します。 

イメージ – HTTPSパススルー – 明示的 – フロー

SWAからWebサーバへのClient Helloの例を次に示します。

イメージ – HTTPSパススルー – 明示的 – WebサーバへのSWA – クライアントhello

これは、クライアントからSWAへのClient Helloと同じです。

イメージ – HTTPSパススルー – 明示的 – SWAへのクライアント – Client hello

アクセスログの例を次に示します。

1706185288.920 53395 10.61.70.23 TCP_MISS/200 6549 CONNECT tunnel://www.example.com:443/ - DIRECT/www.example.com - PASSTHRU_WEBCAT_7-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"IW_ref",3.7,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"IW_ref",-,"-","Reference","-","Unknown","Unknown","-","-",0.98,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - - [ Request Details: ID = 210, User Agent = "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:122.0) Gecko/20100101 Firefox/122.0", AD Group Memberships = ( NONE ) - ] [ Tx Wait Times (in ms): 1st byte to server = 233, Request Header = 0, Request to Server = 0, 1st byte to client = 119, Response Header = 0, Client Body = 0 ] [ Rx Wait Times (in ms): 1st request byte = 0, Request Header = 0, Client Body = 0, 1st response byte = 0, Response header = 0, Server response = 436, Disk Cache = 0; Auth response = 0, Auth total = 0; DNS response = 0, DNS total = 22, WBRS response = 0, WBRS total = 0, AVC response = 0, AVC total = 0, DCA response = 0, DCA total = 0, McAfee response = 0, McAfee total = 0, Sophos response = 0, Sophos total = 0, Webroot response = 0, Webroot total = 0, Anti-Spyware response = 0, Anti-Spyware total = 0, AMP response = 0, AMP total = 0; Latency = 22; "25/Jan/2024:13:21:28 +0100" ][Client Port = 59939, Server IP = 10.184.216.34, Server Port = 443]

注：ご覧のように、これは1行のみで、アクションはPASSTHRUです。

透過的な導入 

認証を使用しない透過的な導入でのHTTPトラフィック

クライアントおよびSWA

ネットワークトラフィックは、クライアントのIPアドレスとWebサーバのIPアドレスの間を移動します。

クライアントからのトラフィックはTCPポート80（プロキシポートではない）宛てです。  

• TCPハンドシェイク。 
• クライアントからのHTTP Get（宛先IP = Webサーバ、宛先ポート= 80） 
• プロキシからのHTTP応答（送信元IP = Webサーバ）
• データ転送
• TCP接続の終了（4ウェイハンドシェイク）

イメージ – クライアントからプロキシ – HTTP – 透過 – 認証なし

クライアントからのHTTP Getの例を次に示します 

イメージ – クライアントからプロキシ – HTTP – トランスペアレント – 認証なし – クライアントHTTP Get

SWAおよびWebサーバ

ネットワークトラフィックは、プロキシのIPアドレスとWebサーバのIPアドレスの間で発生します。

SWAからのトラフィックはTCPポート80（プロキシポートではない）宛てです 

• TCPハンドシェイク。 
• プロキシからのHTTP Get（宛先IP = Webサーバ、宛先ポート= 80） 
• WebサーバからのHTTP応答（送信元IP =プロキシサーバ） 
• データ転送
• TCP接続の終了（4ウェイハンドシェイク）

イメージ – プロキシとWebサーバ – HTTP – 透過 – 認証なし

プロキシからのHTTP Getの例を次に示します 

イメージ – Webサーバへのプロキシ – HTTP – トランスペアレント – 認証なし – プロキシHTTP Get

これは、クライアントからSWA、Webサーバ、そして最終的にクライアントに戻るトラフィックのフロー全体を表しています。

イメージ – トラフィック合計 – HTTP – トランスペアレント – 認証なし  

注：トラフィックの各ストリームは異なる色で区別されます。クライアントからSWAへのフローは1色で、SWAからWebサーバへのフローは別の色です。

イメージ：WCCP HTTPフロー

アクセスログの例を次に示します。 

1702318427.181 124 192.168.1.10 TCP_MISS/200 1787 GET http://www.example.com/ - DIRECT/www.example.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"-",-,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"-",-,"-","-","-","-","-","-","-",115.29,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - - [ Request Details: ID = 50, User Agent = "curl/8.4.0", AD Group Memberships = ( NONE ) - ] [ Tx Wait Times (in ms): 1st byte to server = 0, Request Header = 0, Request to Server = 0, 1st byte to client = 0, Response Header = 0, Client Body = 0 ] [ Rx Wait Times (in ms): 1st request byte = 1, Request Header = 0, Client Body = 0, 1st response byte = 124, Response header = 0, Server response = 0, Disk Cache = 0; Auth response = 0, Auth total = 0; DNS response = 0, DNS total = 0, WBRS response = 0, WBRS total = 0, AVC response = 0, AVC total = 0, DCA response = 0, DCA total = 0, McAfee response = 0, McAfee total = 0, Sophos response = 0, Sophos total = 0, Webroot response = 0, Webroot total = 0, Anti-Spyware response = 0, Anti-Spyware total = 0, AMP response = 124>, AMP total = 124<; Latency = 1; "11/Dec/2023:19:13:47 +0100" ][Client Port = 54468, Server IP = 10.184.216.34, Server Port = 80]

キャッシュされたデータを持つトラフィック

これは、データがSWAキャッシュにある場合の、クライアントからSWAへのトラフィックのフロー全体を表します。  

イメージ – キャッシュ – 合計トラフィック – HTTP – トランスペアレント – 認証なし

注：ご覧のように、WebサーバはHTTP応答304: Cache not Modifiedを返します。（この例では、パケット番号27）

HTTP応答304の例を次に示します

イメージ – キャッシュ – HTTP応答304 - HTTP – トランスペアレント – 認証なし

アクセスログの例を次に示します。 

1702318789.560 105 192.168.1.10 TCP_REFRESH_HIT/200 1787 GET http://www.example.com/ - DIRECT/www.example.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"-",-,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"-",-,"-","-","-","-","-","-","-",136.15,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - - [ Request Details: ID = 360, User Agent = "curl/8.4.0", AD Group Memberships = ( NONE ) - ] [ Tx Wait Times (in ms): 1st byte to server = 0, Request Header = 0, Request to Server = 0, 1st byte to client = 0, Response Header = 0, Client Body = 0 ] [ Rx Wait Times (in ms): 1st request byte = 2, Request Header = 0, Client Body = 0, 1st response byte = 104, Response header = 0, Server response = 0, Disk Cache = 0; Auth response = 0, Auth total = 0; DNS response = 0, DNS total = 0, WBRS response = 0, WBRS total = 0, AVC response = 0, AVC total = 0, DCA response = 0, DCA total = 0, McAfee response = 0, McAfee total = 0, Sophos response = 0, Sophos total = 0, Webroot response = 0, Webroot total = 0, Anti-Spyware response = 0, Anti-Spyware total = 0, AMP response = 105>, AMP total = 105<; Latency = 2; "11/Dec/2023:19:19:49 +0100" ][Client Port = 54487, Server IP = 10.184.216.34, Server Port = 80]

認証を使用しない透過的な導入でのHTTPトラフィック

クライアントおよびSWA

ネットワークトラフィックは、クライアントのIPアドレスとWebサーバのIPアドレスの間を移動します。

クライアントからのトラフィックはTCPポート443宛てです（プロキシポートではありません）  

• TCPハンドシェイク。 
• TLSハンドシェイククライアントHello - Server Hello - Server Key Exchange - Client Key Exchange 
• データ転送
• TCP接続の終了（4ウェイハンドシェイク）

イメージ – クライアントからプロキシ – HTTP – トランスペアレント – 認証なし

Server Name Indication(SNI)にWebサーバのURLが表示されているように、クライアントからSWAへのClient Helloについて詳しく説明します。この例では、このWebサーバのURLはwww.example.comです。

イメージ – Client Hello – クライアントからプロキシ – 透過 – 認証なし

ヒント:Wiresharkでこのフィルタを使用して、URL/SNIを検索できます：tls.handshake.extensions_server_name == "www.example.com"

次に、Server Key Exchangeの例を示します

イメージ – サーバキー交換 – クライアントからプロキシ – 透過的 – 認証なし

注：確認できるように、証明書は復号化証明書としてSWAで設定されたものです。

SWAおよびWebサーバ

ネットワークトラフィックは、プロキシのIPアドレスとWebサーバのIPアドレスの間で発生します。

SWAからのトラフィックはTCPポート443宛てです（プロキシポートではありません） 

• TCPハンドシェイク。 
• TLSハンドシェイククライアントHello - Server Hello - Server Key Exchange - Client Key Exchange 
• データ転送
• TCP接続の終了（4ウェイハンドシェイク）

イメージ – Webサーバへのプロキシ – HTTP – トランスペアレント – 認証なし

SWAからWebサーバへのClient Helloのサンプルを次に示します

イメージ – Client Hello - Webサーバへのプロキシ – 透過 – 認証なし

注：この出力に示されている暗号スイートは、クライアントからSWAへの「Client Hello」の暗号スイートとは異なります。これは、このトラフィックを復号化するように設定されたSWAが独自の暗号を使用するためです。

ヒント:SWAからWebサーバへのサーバキー交換では、Webサーバ証明書が表示されます。ただし、アップストリームプロキシがSWAの設定を検出すると、Webサーバ証明書の代わりにその証明書が表示されます。

アクセスログの例を次に示します。

1702319784.943 558 192.168.1.10 TCP_MISS_SSL/200 0 TCP_CONNECT 10.184.216.34:443 - DIRECT/www.example.com - DECRYPT_ADMIN_DEFAULT_ACTION_7-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"-",-,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"-",-,"-","-","-","-","-","-","-",0.00,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - - [ Request Details: ID = 940, User Agent = -, AD Group Memberships = ( NONE ) - ] [ Tx Wait Times (in ms): 1st byte to server = 0, Request Header = 0, Request to Server = 0, 1st byte to client = 0, Response Header = 0, Client Body = 50 ] [ Rx Wait Times (in ms): 1st request byte = 0, Request Header = 45, Client Body = 0, 1st response byte = 0, Response header = 0, Server response = 249, Disk Cache = 0; Auth response = 0, Auth total = 0; DNS response = 0, DNS total = 5, WBRS response = 0, WBRS total = 0, AVC response = 0, AVC total = 0, DCA response = 0, DCA total = 0, McAfee response = 0, McAfee total = 0, Sophos response = 0, Sophos total = 0, Webroot response = 0, Webroot total = 0, Anti-Spyware response = 0, Anti-Spyware total = 0, AMP response = 558>, AMP total = 558<; Latency = 50; "11/Dec/2023:19:36:24 +0100" ][Client Port = 54515, Server IP = 10.184.216.34, Server Port = 443]
1702319785.190 247 192.168.1.10 TCP_MISS_SSL/200 1676 GET https://www.example.com:443/ - DIRECT/www.example.com text/html DEFAULT_CASE_12-DefaultGroup-DefaultGroup-NONE-NONE-NONE-DefaultGroup-NONE <"-",-,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"-",-,"-","-","-","-","-","-","-",54.28,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - - [ Request Details: ID = 960, User Agent = "curl/8.4.0", AD Group Memberships = ( NONE ) - ] [ Tx Wait Times (in ms): 1st byte to server = 0, Request Header = 0, Request to Server = 0, 1st byte to client = 50, Response Header = 50, Client Body = 0 ] [ Rx Wait Times (in ms): 1st request byte = 0, Request Header = 97, Client Body = 0, 1st response byte = 48, Response header = 0, Server response = 0, Disk Cache = 0; Auth response = 0, Auth total = 0; DNS response = 0, DNS total = 0, WBRS response = 0, WBRS total = 0, AVC response = 0, AVC total = 0, DCA response = 0, DCA total = 0, McAfee response = 0, McAfee total = 0, Sophos response = 0, Sophos total = 0, Webroot response = 0, Webroot total = 0, Anti-Spyware response = 0, Anti-Spyware total = 0, AMP response = 247>, AMP total = 247<; Latency = 97; "11/Dec/2023:19:36:25 +0100" ][Client Port = 54515, Server IP = 10.184.216.34, Server Port = 443]

注:HTTPSトラフィックの透過的な導入で確認できるように、アクセスログに2行あります。最初の行はトラフィックが暗号化された時点、TCP_CONNECTとWebサーバのIPアドレスを確認できます。SWAでDecryptionが有効になっている場合、2行目にはGETが含まれ、URL全体がHTTPSで始まります。これは、トラフィックが復号されて、SWAでURLが認識されることを意味します。

関連情報

• テクニカル サポートとドキュメント - Cisco Systems
• アクセスログのパフォーマンスパラメータの設定 – Cisco