Secure Web Appliance?????????????
Author: Cisco Systems, Inc.
Date: 2026-09-09T05:00:00+00:00
Description: ???????????Secure Web Appliance(SWA)??????????????????????????

内容

はじめに

前提条件

要件

使用するコンポーネント

さまざまなタイプのバイパス

導入タイプ別のSWAバイパス手順

明示的な展開でのトラフィックのバイパス

PACファイルの設定

ブラウザの設定(Microsoft Edge、Internet Explorer、Google Chrome)

ブラウザの設定(Mozilla Firefox)

ブラウザの設定(Apple Safari)

グループポリシーの設定

透過的な導入でのトラフィックのバイパス

SWAバイパス設定

WCCP/PBRルータからのトラフィックのリダイレクト

SWAでのパススルーの設定とトラフィックの許可

関連情報

はじめに

このドキュメントでは、Secure Web Appliance(SWA)でトラフィックをバイパスする手順について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- SWA管理。

- 基本的なネットワーキングおよびプロキシプロトコル

次のツールをインストールしておくことを推奨します。

- 物理または仮想SWA

- SWAグラフィカルユーザインターフェイス(GUI)への管理アクセス

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

さまざまなタイプのバイパス

SWAでは、トラフィックがSWAに到達するのをバイパスする3つの異なる概念があります。これらは、プロキシの導入（明示的または透過的な導入）によって異なります。また、SWAによる分析とスキャンの対象にもなります。次に、これら3つの概念の概要を示します。

- バイパス：トラフィックがSWAに到達するのを防止する設定。これにより、ネットワークインターフェイスカード(NIC)の使用率が低下し、ユーザとアプライアンス間のセッションが不要になります。

- パススルー：この設定は、SWAによるHTTPSトラフィックの復号化を防止します。それでも、SWAでは、クライアントとSWAの間のセッションと、SWAとWebサーバの間のセッションの2つのセッションが引き続き促進されます。

- Allow：アクセスポリシー内で、HTTPまたは復号化されたトラフィックが、AMP、Sophos、WebRoot、アプリケーションフィルタなどの内部SWAエンジンによる検査をスキップする設定。この場合でも、SWAでは2つのセッションが使用されています。

図 – 比較表

導入タイプ別のSWAバイパス手順

バイパスの手順は、プロキシ導入モデルによって異なります。各タイプの概要を次に示します。

- 明示的な導入：クライアントは、トラフィックをプロキシに転送するように手動で設定されます。

- 透過的な導入：ネットワークインフラストラクチャはトラフィックをプロキシに自動的にリダイレクトするため、クライアント側の設定は必要ありません。

明示的な展開でのトラフィックのバイパス

Explicit Deploymentでトラフィックをバイパスするには、目的のURLのWeb要求をSWAに転送しないようにクライアントを設定する必要があります。このネットワーク図に示すように、一部のトラフィックはファイアウォールまたはデフォルトゲートウェイに直接送信され、SWA（パス番号2）をバイパスします。

イメージ：明示的な導入でのトラフィックのバイパス

明示的なプロキシ導入に応じて、一部のURLをSWAにリダイレクトされないように除外できます。

明示的なプロキシ設定

SWAに到達するURLを除外する手順

PACファイルの設定

PACファイルの設定方法に応じて、例外リストを定義し、アクションをDIRECTに設定できます。

プライベートIPアドレスがSWAに到達するのをバイパスするサンプルを次に示します。

var resolved_ip = dnsResolve(host);

if (isInNet(resolved_ip, "10.0.0.0", "255.0.0.0") ||

isInNet(resolved_ip, "172.16.0.0", "255.240.0.0") ||

isInNet(resolved_ip, "192.168.0.0", "255.255.0.0") ||

isInNet(resolved_ip, "127.0.0.0", "255.255.255.0"))

return "DIRECT";

これは、wwwへのトラフィックをバイパスする例です。SWAのリダイレクトからのcisco.com:

if (localHostOrDomainIs(host, "www.cisco.com")) return "DIRECT";

この例では、cisco.comのすべてのサブドメインをバイパスして、SWAをリダイレクトします
if (dnsDomainIs(host, ".cisco.com")) return "DIRECT";

注:PACファイルはシスコ製品のファイルではないため、便宜上、この情報を提供しています。さらにサポートが必要な場合は、ソフトウェアのベンダーに連絡してください。

ブラウザの設定(Microsoft Edge、Internet Explorer、Google Chrome)

ステップ 1：Start MenuでInternet Optionsと入力し、Enterキーを押します。

ステップ 2Connectionsタブに移動し、LAN Settingsをクリックします。

ステップ 3[Advanced] をクリックします。

ステップ 4「例外」セクションで必要なURLを定義します。

イメージ – Lan設定に移動します

イメージ：例外の定義

ブラウザの設定(Mozilla Firefox)

ステップ 1：右上隅の3バーメニューをクリックし、Settingsを選択します。

ステップ 2検索バーに「proxy」と入力します。

ステップ 3No Proxy forセクションで必要なURLを定義します。

イメージ：Fire Foxでの例外の定義

ブラウザの設定(Apple Safari)

ステップ 1：左上隅のAppleアイコンをクリックして、System Settingsを選択します。

ステップ 2左側のパネルでNetworkに移動し、インターネットへのアクセスに使用しているネットワークインターフェイスを選択します。

ステップ 3Detailsをクリックします。

ステップ 4左側のパネルからProxiesを選択します。

ステップ 5Bypass Proxy Settingsセクションで、必要なURLを定義します。

イメージ：Fire Foxでの例外の定義

グループポリシーの設定

プロキシ設定をプッシュするためのグループポリシーの設定方法に応じて、例外リストを定義できます。

透過的な導入でのトラフィックのバイパス

透過型導入では、WCCPルータまたはSWAバイパス設定を使用してトラフィックをバイパスできます。SWAバイパスはレイヤ3で機能し、トラフィックをデフォルトゲートウェイにルーティングしてアプライアンス全体をバイパスするため、処理と個別のセッションの作成ができなくなります。

イメージ：透過型導入でのトラフィックのバイパス

トラフィックのバイパス透過型プロキシの導入

SWAに到達するトラフィックをバイパスする手順：

SWAバイパス設定

ステップ 1：GUIから、Web Security Managerを選択します。

ステップ 2Bypass Settingsを選択します。

ステップ 3Edit Proxy Bypass Settingsをクリックします。

ステップ 4URL、IPアドレスを入力するか、カスタムURLカテゴリをリストに追加できます。

ステップ 5変更を [Submit] して [Commit] します。

図 – バイパス設定の設定

ヒント：この設定でバイパスされるトラフィックはアクセスログには記録されず、Bypass_Logsで確認できます。

WCCP/PBRルータからのトラフィックのリダイレクト

一部のトラフィックをSWAにリダイレクトしないように、WCCPまたはPolicy Based Router（PBR；ポリシーベースルータ）で送信元または宛先のIPアドレスを設定できます。

SWAでのパススルーの設定とトラフィックの許可

トラフィックがSWAに到達している場合、プライバシー上の問題が原因でSWAの負荷を軽減するために、一部のURLのトラフィックをSWAで検査しないようにするには、次の手順を使用します。

手順

手順

ステップ 1：URLのカスタムURLカテゴリを作成します。

1.1.GUIで、Web Security Managerを選択し、Custom and External URL Categoriesをクリックします。

1.2. [カテゴリの追加]をクリックして、カスタムURLカテゴリを追加します。

1.3.一意のカテゴリ名を割り当てる。

1.4.（任意）説明を追加する。

1.5. 「リスト順」から、一番上に配置する最初のカテゴリを選択します。

1.6. Category Typeドロップダウンリストから、Local Custom Categoryを選択します。

1.7. 必要なURLをSitesセクションに追加します。

1.8.送信。

イメージ – カスタムURLカテゴリの作成

ステップ 2認証からトラフィックを除外するIDプロファイルを作成します。

2.1.GUIで、Web Security Managerを選択し、Identification Profilesをクリックします。

2.2. Add Profileをクリックしてプロファイルを追加します。

2.3.このプロファイルを有効にする、または削除せずにすばやく無効にするには、Enable Identification Profileチェックボックスを使用します。

2.4.一意のプロファイル名を割り当てる。

2.5.（任意）説明を追加する。

2.6. 「上に挿入」ドロップダウンリストから、このプロファイルをテーブルのどこに表示するかを選択します。

2.7. 「ユーザ識別方法」セクションで、「認証/識別から免除」を選択します。

2.8.特定のIPアドレスのトラフィックをパススルーする場合を除き、このフィールドを空白のままにして、すべてのクライアントIPアドレスを含めるには「サブネット別メンバーの定義」を参照してください。

2.9. 「Advanced」セクションで、「Custom URL Categories」を選択します。

イメージ – 識別プロファイルの追加

2.10. ステップ1で作成したカスタムURLカテゴリを追加します。

2.11. 「完了」をクリックします。

2.12. 送信。

ステップ 3トラフィックを通過させる復号化ポリシーを作成します。

3.1.GUIで、Web Security Managerを選択し、Decryption Policyをクリックします。

3.2. Add Policyをクリックして、Decryption Policyを追加します。

3.3.このポリシーを有効にするには、Enable Policyチェックボックスを使用します。

3.4.一意のポリシー名を割り当てる。

3.5.（任意）説明を追加する。

3.6.「上にポリシーを挿入」ドロップダウンリストから、最初のポリシーを選択します。

3.7.「IDプロファイルおよびユーザ」から、ステップ2で作成したIDプロファイルを選択します。

3.8.送信。

イメージ：復号化ポリシーの作成

3.9. 「Decryption Policies」ページの「URL Filtering」で、この新しい復号ポリシーに関連付けられているリンクをクリックします。

図 – URLフィルタリングの選択

3.10.ステップ1で作成したURLカテゴリのアクションとしてPass Throughを選択します。

イメージ：パススルーするアクションの設定

3.11.送信。

ステップ 4Microsoft Updatesトラフィックを許可するアクセスポリシーを作成します。

4.1. GUIで、Web Security Managerを選択し、Access Policyをクリックします。

4.2. Add Policyをクリックして、アクセスポリシーを追加します。

4.3.このポリシーを有効にするには、Enable Policyチェックボックスを使用します。

4.4.一意のポリシー名を割り当てる。

4.5.（任意）説明を追加する。

4.6.「Insert Above Policy」ドロップダウンリストから、最初のポリシーを選択します。

4.7. Identification Profiles and Usersから、ステップ2で作成したIdentification Profileを選択します。

4.8.送信。

イメージ：アクセスポリシーの作成

4.9. Access PoliciesページのURL Filteringの下で、この新しいアクセスポリシーに関連付けられているリンクをクリックします。

図 – URLフィルタリングの選択

4.10.ステップ1で作成したURLカテゴリ用に作成したカスタムURLカテゴリのアクションとして、Allowを選択します。

イメージ：許可するアクションの設定

4.11.送信。

4.12.変更を確定する。

関連情報

- Secure Web ApplianceでのMicrosoft Updatesトラフィックのバイパス

- Secure Web Applianceでの認証のバイパス

- AsyncOS 15.0 for Cisco Secure Web Applianceユーザガイド – GD（一般導入） – ポリシーアプリケーションのエンドユーザの分類[Cisco Secure Web Appliance]

- Secure Web ApplianceでのカスタムURLカテゴリの設定

- Cisco Webセキュリティアプライアンス(WSA)でOffice 365トラフィックを認証および復号化から除外する方法

- セキュアなWebアプライアンスのベストプラクティスの使用

- Secure Web Applianceでのトラフィックのブロック

- セキュアWebアプライアンスでのアップロードトラフィックのブロック

- SWAでの実行可能ファイルのダウンロードのブロック