ISE サーバ要件

ISE サーバは、静的な例外リストに常に記載されている必要があります。このリストは、Web セキュリティ クライアント プロファイルの [例外（Exceptions）] ペインに設定されています。さらに、ISE ポスチャ クライアントが ISE サーバに到達できるように、Web セキュリティ モジュールは ISE ポスチャ プローブをバイパスする必要があります。ISE ポスチャ プロファイルは、ISE サーバを検出するために次の順序でネットワーク プローブを送信します。

1. デフォルト ゲートウェイ

2. Discovery host

3. enroll.cisco.com

4. 以前に接続した ISE サーバ

ユーザが、接続先の Cisco Cloud Web Security スキャニング プロキシを選択できるようにするには、次の手順を実行します。

Secure Trusted Network Detection 機能は、エンドポイントが社内 LAN 上に物理的に存在するタイミング、または VPN 接続を使用して存在するタイミングを検出します。Secure Trusted Network Detection 機能が有効になっている場合、社内 LAN からのネットワーク トラフィックはすべて、送信元の Cisco Cloud Web Security スキャニング プロキシをバイパスします。そのトラフィックのセキュリティは、Cisco Cloud Web Security ではなく、社内 LAN に存在するデバイスにより別の方法で管理されます。

Secure Trusted Network Detection では、既知の URL（アドレス、IP、または FQDN）にあるサーバ上の SSL 証明書の SHA-256 ハッシュ（サムプリント）を使用してクライアントが社内ネットワークに接続されていることを確認します。証明書によって使用される暗号化アルゴリズムは問いませんが、SHA-256 ハッシュのみを使用できます。

ネットワークにプロキシが存在する（Cisco Cloud Web Security コネクタなど）状態で、Secure Trusted Network Detection を使用しない場合は、プロファイル エディタの [例外（Exceptions）] パネルで、プロキシ例外のリストに各プロキシを追加する必要があります。

複数のサーバ：複数のサーバを定義すると、クライアントが最初のサーバに対して 2 回連続試行しても接続できない場合に、2 番目のサーバに対して試行します。クライアントは、リスト内のすべてのサーバに対して試行した後、5 分間待ってから、最初のサーバに再接続を試みます。

（注）	内部ネットワークの外から操作する場合は、Secure Trusted Network Detection が DNS 要求を行い、プロビジョニングした HTTPS サーバに接続を試みます。シスコでは、内部ネットワークの外で使用されているマシンからのこのような要求によって組織内の名前や内部構造が明らかになることを防ぐために、エイリアス設定の使用をお勧めします。

難解化 Web セキュリティ クライアント プロファイルを ASA からエクスポートして、エンドポイント デバイスに配布します。

Diagnostic AnyConnect Reporting Tool（DART）バンドルをシスコのカスタマー サービスに送信する必要がある場合、プレーン テキスト バージョンの Web セキュリティ クライアント プロファイル ファイル（filename.wsp または filename.xml）を DART バンドルとともに送信する必要があります。シスコ カスタマー サービスは難読化されたバージョンを読み取ることはできません。

プロファイル エディタのスタンドアロン バージョンは、Web セキュリティ プロファイル ファイルの 2 つのバージョンを作成します。1 つはファイル名が filename.wso の難解化ファイル、もう 1 つはファイル名が filename.xml のプレーン テキスト ファイルです。

DART バンドルをシスコのカスタマー サービスに送信する前に、プレーン テキスト バージョンの Web セキュリティ クライアント プロファイルを DART バンドルに追加します。

プレーン テキストの Web セキュリティ クライアント プロファイル ファイルをエクスポートした場合は、ローカル コンピュータで、AnyConnect Web セキュリティ プロファイル エディタでサポートされていない編集が可能ないずれかのプレーン テキストまたは XML エディタを使用して編集します。プレーン テキスト バージョンの Web セキュリティ クライアント プロファイルは、カスタマー サポートから指示された場合以外は変更しないでください。エディタをインポートするには、次の手順を実行します。

ユーザが VPN セッションを確立した場合は、すべてのネットワーク トラフィックが VPN トンネル経由で送信されます。ただし、AnyConnect ユーザが Web セキュリティを使用している場合、エンドポイントで発信された HTTP トラフィックはトンネルから除外され、クラウド Web セキュリティ スキャニング プロキシに直接送信される必要があります。

クラウド Web セキュリティ スキャニング プロキシ用のトラフィックのスプリット トンネル除外を設定するには、グループ ポリシーで [Web セキュリティのためのスプリット除外の設定（Set up split exclusion for Web Security）]ボタンを使用します。

AnyConnect リリース 3.0.4 から、Web セキュリティ ホステッド クライアント プロファイルの Cisco ScanCenter ホステッド コンフィギュレーションにより、Web セキュリティ クライアントに新しい設定を提供できます。Web セキュリティを備えたデバイスは、クラウドから新しい Web セキュリティ ホステッド クライアント プロファイルをダウンロードできます（ホステッド コンフィギュレーション ファイルは Cisco ScanCenter サーバに格納されています）。

AnyConnect クライアントは、リソース サービスから AnyConnect バイナリにハードコード化されているホスト名を使用してコンフィギュレーション ファイルをダウンロードする必要があります。要求はhostedconfig.scansafe.net/（IP：46.155.41.2）に対して行われ、通信は TCP ポート 443 で暗号化されます。

ホスト設定で、AnyConnect Web セキュリティに TCP ポート 443（およびプレーン モードで展開している場合はポート 8080）からの CWS タワー/プロキシの入力 IP へのアクセスを許可します。AnyConnect Web セキュリティのタワー/プロキシの完全なリストは、『Cisco ScanCenter Administration Guide』の「Prepare」セクションに記載されています。クライアントは TCP ポート 80 で 80.254.145.118 にアクセスできる必要があります。このアクセスにより、プロキシ タワーのリストを取得し、最新に保ちます。Web セキュリティ モジュールは TCP ポート 80 で Verisign に接続するように設定する必要があります。この範囲では、クライアントは証明書失効を Tj.symbcb.com、T1.symcb.com、および T2.symcb.com でチェックします。

Web セキュリティ プロファイル エディタを使用してクライアント プロファイルを作成してから、クリア テキスト XML ファイルを Cisco ScanCenter サーバにアップロードします。この XML ファイルには、同じ会社、グループ、またはユーザ ライセンス キーが Cisco Cloud Web Security で定義されホストされたホスト設定と関連付けられている、有効なライセンス キーを含める必要があります。クライアントは、ホステッド コンフィギュレーション サーバに適用されてから 8 時間以内に、新しいコンフィギュレーション ファイルを取得します。

ホステッド コンフィギュレーション機能では、ホステッド コンフィギュレーション（Cisco ScanCenter）サーバから新しいクライアント プロファイル ファイルを取得する際にライセンス キーが使用されます。新しいクライアント プロファイル ファイルがサーバ上に置かれたら、Web セキュリティを実装したデバイスは自動的にサーバをポーリングし、新しいクライアント プロファイルをダウンロードします。これには、既存の Web セキュリティ クライアント プロファイルにあるライセンスがホステッド サーバ上のクライアント プロファイルに関連付けられたライセンスと同じであることが条件となります。新しいクライアント プロファイルをダウンロードした場合、新しいクライアント プロファイル ファイルを使用可能にするまで Web セキュリティは同じファイルを再度ダウンロードしません。

ライセンス キーの詳細については、『Cisco ScanCenter Administration Guide, Release 5.2』を参照してください。

次の手順を実行することで、Web トラフィックを代行受信する Cisco AnyConnect Web セキュリティ エージェントの機能を無効化および有効化できます。