Dit document beschrijft de gestructureerde methodologie voor het diagnosticeren van problemen met de toegang tot websites wanneer deze worden gerouteerd via een cloudgebaseerde proxy (Secure Web Gateway/SWG), maar niet wanneer gebruik wordt gemaakt van Direct Internet Access (DIA).
Gemeenschappelijke proxy-interferentie-indicatoren omvatten:
s_proxy (Nginx-proxy) of m_proxy (Modular Proxy Service/MPS) bevestigt dat het verkeer wordt benaderd.OpenSSL S_Client -connect www.example.com:443 -showcerts curl met en zonder proxy om gedrag te vergelijken.Deze fout treedt op wanneer de SWG-proxy het certificaat van de bestemmingsserver niet kan valideren. Oorzaken zijn verlopen, zelf ondertekende of onvolledige certificaatketens.
Technische details: Nginx-proxy kan mislukken als de upstream-server vertrouwt op Authority Information Access (AIA) voor het ophalen van ontbrekende tussenliggende certificaten, omdat Nginx AIA niet zo sierlijk behandelt als de proxyservice voor bestandsscanning. SNI- en SAN-mismatches tijdens TLS-handshake kunnen ook fouten veroorzaken.
De 517-fout betekent dat de CRL- of OCSP-controle van de SWG-proxy het certificaat van de upstream-server heeft ingetrokken.
Cisco Secure Access introduceert een nieuwe functie genaamd "Certificate Error Handling Options" voor het omzeilen van granulaire fouten zonder de decodering volledig uit te schakelen. Domeinen die certificaatfouten veroorzaken als gevolg van inspectie, kunnen worden beheerd met deze functie in plaats van brede "Do Not Decrypt" -lijsten.
Deze functie bestaat in Umbrella SIG vanaf vandaag. Specificatieverzoeken details voor CSA.
De 502-fout geeft aan dat de SWG-proxy een ongeldig antwoord heeft ontvangen van de upstream-server terwijl deze als tussenpersoon fungeert.
- Downstream: client naar SWG-proxy
- Upstream: SWG-proxy naar bestemmingsserver
De fout zit altijd in de upstream-verbinding als gevolg van protocolfouten, TCP-resets of misvormde headers.
Oorzaak: Server vereist een cijfer dat niet wordt ondersteund door SWG (bijvoorbeeld TLS_CHACHA20_POLY1305_SHA256).
Resolutie: Voeg het domein toe aan de lijst Selectieve decryptie.
Testen, opdrachten:
Met proxy: curl -x proxy.sig.umbrella.com:80 -v xyz.com:80 curl -x swg-url-proxy-https.sigproxy.qq.opendns.com:443 -vvv -k "https://www.cnn.com" >> null
Zonder proxy: curl -v www.xyz.com:80
Mac/Linux: curl -vvv -o /dev/null -k -L www.cnn.com
Windows: curl -vvv -o null -k -L www.cnn.com
Oorzaak: De upstream-server vereist certificaten aan de clientzijde, die SWG niet ondersteunt.
Oplossing: omzeilen van het domein van de proxy met behulp van de External Domains management list (Umbrella SIG) of Bypass Secure Proxy (Cisco Secure Access). Het omzeilen van HTTPS-inspectie alleen is onvoldoende.
Oorzaak: Sommige servers weigeren aanvragen met de X-Forwarding-For (XFF) header toegevoegd door SWG wanneer HTTPS-inspectie is ingeschakeld.
Resolutie: Vergelijk gedrag met/zonder HTTPS en bestandsinspectie. Als de fout alleen optreedt wanneer XFF aanwezig is, is de webserver waarschijnlijk verkeerd geconfigureerd.
Voorbeeld: curl https://www.xyz.com -k --header 'X-Forwarding-For: 1.1.1.1' -o /dev/null -w "Status Code: %{http_code}" -s
Statuscode: 502 curl https://www.xyz.com -k -o /dev/null -w "Status Code: %{http_code}" -s
Statuscode: 200
De XFF-header wordt toegevoegd voor geolocatie. Als de server deze niet kan verwerken, wordt een 502-fout weergegeven.
Als SWG een bestand niet kan scannen met bestandsinspectie (bijvoorbeeld beveiligde, aangevraagde of beschadigde bestanden), blokkeert het de download en rapporteert het - Geblokkeerd - Potentieel ongewenste toepassing (beveiligd bestand)
Potentieel schadelijke categorieën en reputatieblokken
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
1.0 |
18-May-2026
|
Eerste vrijgave |