SWG-beleid configureren voor paraplu

Inleiding

In dit document wordt beschreven hoe u webbeleidsregels kunt configureren voor gebruik met Umbrella.

Achtergrondinformatie

Welkom bij de Umbrella Secure Web Gateway (SWG). Na de implementatie is de belangrijkste stap het definiëren van een webbeleid om ervoor te zorgen dat het ontvangen basisgedrag is wat u verwacht. Tegenwoordig weerspiegelt deze beleidsstroom het DNS-laagbeleid precies.

Overkoepelend webbeleid

Umbrella Web-beleidsregels werken met een toepassings-algoritme met topmatch. Dat wil zeggen, het eerste beleid dat overeenkomt met de huidige set identiteiten wordt toegepast en alle daaropvolgende beleidsovereenkomsten worden genegeerd. Dit is de basis voor alle Umbrella-beleidsregels en kan afwijken van bestaande verwachtingen over op proxy gebaseerde webbeleidsregels.

Beleidsfuncties zoals weergegeven in dit stroomschema. De eerste beleidsovereenkomst met een identiteit die in de zoekopdracht is opgenomen, wordt toegepast zonder rekening te houden met verdere beleidsregels.

Stroomdiagram-SWG.png

Aangezien deze stroom nieuw is voor degenen die niet afkomstig zijn van Umbrella DNS-beleid, is hier een voorbeeld van een reeks beleidsregels waarbij verschillende beleidsregels van toepassing zijn op dezelfde gebruiker of groep. Merk op dat alleen het eerste beleid dat van toepassing is op Phil (of de gebruikersgroep van Phil) wordt gebruikt en dat alle resterende overeenkomsten worden genegeerd. Extra wedstrijden worden niet geaggregeerd in het paraplubeleid, maar gewoon genegeerd.

Stroomdiagram-stroom.png

Als gevolg hiervan zijn deze niet beschikbaar met het Umbrella SWG-beleid:

• Genest beleid
• Uitsluitingen toestaan en blokkeren voor een toepassing of website die een beleid overschrijdt
  • Voorbeeld: Beleidsuitsluitingen voor Phil zijn toegestaan op Facebook, staan Instagram toe en staan Dropbox-uitsluiting toe, maar Phillis is alleen toegestaan op Facebook en staat Instagram toe.
    • In het overkoepelende beleid zou dit twee unieke beleidslijnen zijn.
      • Facebook, Instagram en Dropbox toepassen op Phil
      • Facebook en Instagram toepassen op Phillis
    • Elke combinatie van toegestane of geblokkeerde individuele toepassingen moet een nieuw beleid hebben gemaakt met de toepasselijke gebruikers toegevoegd aan het beleid.

Bovendien ontvangt elk verkeer dat geen HTTP/S is, het DNS-laagbeleid voor dit type verkeer.

Belangrijke opmerkingen over Cloud Delivered Firewall en SWG

De Umbrella CDFW stuurt elk toegestaan HTTP/S-verkeer door de Umbrella SWG en past daarom ook het beleid toe. Zodra een beleid is gedefinieerd, werkt de stroom van de beleidstoepassing hetzelfde als de SWG-stroom.

Flowchart-cdfw.png

Belangrijke opmerkingen over het beleid voor de beveiligingsmodule voor roaming

Met de Umbrella Roaming Module is het beleid in feite anders dan het beleid op het netwerk. De roamingmodule is niet compatibel met proxyconfiguraties op het netwerk of PAC-bestanden en ondersteunt alleen de gebruikscase buiten het netwerk. Het kan worden uitgeschakeld wanneer op het netwerk.

Bij het gebruik van de zwerfmodule met een SWG-beleid wordt het DNS-beleid eerst van kracht voor alle blokken, inclusief beveiligingsblokken. Als het resultaat van het DNS-beleid geen blokkering is, is het proxybeleid van toepassing. Bovendien wordt voor alle verkeer dat geen HTTP/S-verkeer is, het DNS-beleid exclusief toegepast. Daarom wordt het beleid in deze volgorde toegepast:

1. DNS-beleid (voor blokken)
2. SWG-beleid

Flowchart-module.png

Wil je meer weten? Bekijk onze tutorial video: Umbrella Web Policies.