Upstream-proxy configureren in beveiligd webtoestel

Downloadopties

  • PDF     (1.0 MB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (818.1 KB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (686.9 KB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:21 oktober 2026
Document-id:225825

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

In dit document worden de stappen beschreven voor het configureren van de upstream-proxy in de Secure Web Appliance (SWA).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

  • SWA-administratie
  • Basisnetwerken en proxyprotocollen

Cisco raadt u aan deze tools te installeren:

  • Fysieke of virtuele SWA
  • Administratieve toegang tot de grafische gebruikersinterface (GUI) van SWA
  • Administratieve toegang tot de SWA Command Line Interface (CLI)

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Upstream-proxy configureren

Voer de volgende stappen uit om een upstream-proxy in SWA te configureren:

Stappen

Stappen

Stap 1. (Optioneel) Maak een aangepaste URL-rubriek voor URL's

Opmerking: als u de upstream-proxy voor al het verkeer wilt definiëren, kunt u deze stap overslaan.

Stap 1.1. Kies in de GUI Web Security Manager en klik op Aangepaste en externe URL-rubrieken.
Stap 1.2. Klik op Rubriek toevoegen om een aangepaste URL-rubriek toe te voegen.
Stap 1.3. Een unieke naam van een rubriek toewijzen.
Stap 1.4. (Optioneel) Beschrijving toevoegen.

Stap 1.5. Kies in Lijstvolgorde de eerste rubriek die u bovenaan plaatst.

Stap 1.6. Kies in de vervolgkeuzelijst Rubriektype de optie Lokale aangepaste rubriek.

Stap 1.7. Voeg gewenste URL's toe in de sectie Sites.

Stap 1.8. Verzenden.

Image - Create a Custom URL CategoryAfbeelding - Een aangepaste URL-rubriek maken

Stap 2. (Optioneel) Maak een te gebruiken identificatieprofiel voor de upstreamproxy

Opmerking: als u de upstream-proxy voor al het verkeer wilt definiëren, kunt u deze stap overslaan.

Stap 2.1. Kies in de GUI Web Security Manager en klik op Identificatieprofielen.
Stap 2.2. Klik op Profiel toevoegen om een profiel toe te voegen.
Stap 2.3. Gebruik het selectievakje Identificatieprofiel inschakelen om het profiel in te schakelen of om het snel uit te schakelen zonder het te verwijderen.
Stap 2.4. Een unieke profielnaam toewijzen.
Stap 2.5. (Optioneel) Beschrijving toevoegen.
Stap 2.6. Kies in de vervolgkeuzelijst Invoegen boven waar het profiel in de tabel moet worden weergegeven.

Stap 2.7. Als u niet wilt dat de gebruikers die dit beleid raken worden geverifieerd, kiest u in het gedeelte Gebruikersidentificatiemethode, Vrijstellen van verificatie/identificatie, anders configureert u de verificatieparameters. 

Stap 2.8. In het veld Leden definiëren op subnet, laat u dit veld leeg om alle client-IP-adressen op te nemen, tenzij u doorgaand verkeer wilt doorgeven voor een bepaald IP-adres. 

Stap 2.9. (Optioneel: Als u een upstream proxy moet gebruiken voor specifieke gebruikers die toegang hebben tot bepaalde websites, voltooit u deze stap). Kies in het gedeelte Geavanceerd Aangepaste URL-rubrieken en voeg de Aangepaste URL-categorie toe die is gemaakt in Stap 1.

Stap 2.10. Verzenden. 

Image - Create an Identification ProfileAfbeelding - Een identificatieprofiel maken

Stap 3. De upstream proxy maken 

Stap 3.1. Kies in de GUI Netwerk en klik op Upstream Proxy.

Stap 3.2. Klik op Groep toevoegen.

Stap 3.3. Een unieke naam toewijzen.
Stap 3.4. Definieer het proxyadres en het poortnummer.
Stap 3.5. (Optioneel) Als u meer dan één Upstream Proxy hebt, klikt u op Rij toevoegen om de volgende Proxy te definiëren.

Stap 3.6. (Optioneel) Als u meer dan één upstreamproxy hebt ingevoerd in het gedeelte Load Balancing, definieert u de gewenste Load Balancing-methode, 

  • Geen (failover): De webproxy stuurt transacties naar één externe proxy in de groep. Het probeert de proxy's te verbinden in de volgorde waarin ze worden vermeld. Als een proxy niet kan worden bereikt, probeert de webproxy verbinding te maken met de volgende in de lijst.
  • Minste verbindingen: de webproxy houdt bij hoeveel actieve verzoeken er zijn met verschillende proxy's in de groep en stuurt een transactie naar de proxy die momenteel het minste aantal verbindingen onderhoudt.
  • Hash-gebaseerd (minst recent gebruikt): de webproxy stuurt een transactie naar de proxy die het minst recent een transactie heeft ontvangen als alle proxy's momenteel actief zijn. Deze instelling is vergelijkbaar met round robin, behalve dat de webproxy ook rekening houdt met transacties die een ontvangen proxy (lid) heeft ontvangen en die zich in een andere proxygroep bevinden. Dat wil zeggen, als een proxy in meerdere proxygroepen wordt vermeld, is de optie "minst recent gebruikt" minder waarschijnlijk dat die proxy wordt overbelast.
  • Round-Robin: De webproxy cycli transacties gelijk tussen alle proxy's in de groep in de vermelde volgorde.

Stap 3.7. Kies de optie voor foutverwerking die overeenkomt met uw interne beleid.

  • Direct verbinding maken: Stuur de verzoeken rechtstreeks naar hun bestemmingsservers.
  • Drop Requests: Gooi de verzoeken weg zonder ze door te sturen.

Stap 3.8. Verzenden.

Image - Add Upstream Proxy GroupAfbeelding - Upstream-proxygroep toevoegen

Stap 4. (Optioneel) Upload het decoderingscertificaat

Opmerking: als de upstream-proxy het verkeer niet decodeert of de certificeringsinstantie (CA)-server al vertrouwd is in de SWA, kunt u deze stap overslaan.

Stap 4.1. Kies in de GUI Netwerk en klik op Certificaatbeheer.

Stap 4.2. Klik in het gedeelte Certificaatbeheer op Vertrouwde basiscertificaten beheren.

Image - Manage Trusted Root CertificateImage - Vertrouwd basiscertificaat beheren

Stap 4.3. Wijzigingen verzenden en vastleggen.

Let op: Als zowel root- als intermediaire CA-certificaten vereist zijn, upload dan eerst het root CA-certificaat en klik vervolgens op Indienen en Opdracht. Nadat de commit is voltooid, importeert u het tussenliggende CA-certificaat, en opnieuw dient u de wijzigingen in en verbindt u deze.

Stap 5. Het routeringsbeleid configureren

Stap 5.1. Kies in GUI Web Security Manager en klik vervolgens op Routeringsbeleid.

Stap 5.2 (Optioneel) Als u de upstream proxy voor specifieke gebruikers of websites wilt gebruiken, klikt u op Beleid toevoegen en kiest u het identificatieprofiel dat u in stap 2 hebt gemaakt. 

Image - Adding ID Profile to Routing PolicyAfbeelding - ID-profiel toevoegen aan routeringsbeleid

Stap 5.3. Voor de vereiste instellingen die u verkiest in de upstream-proxy, klikt u op de link Routing Destination en selecteert u de upstream-proxygroep die u in stap 3 hebt gemaakt.

Image - Configuring Routing DestinationAfbeelding - Routeringsbestemming configureren

Opmerking: Als u liever alle verkeer om de upstream proxy te gebruiken, uit de Global Routing Policy, selecteert u de gewenste upstream proxy.

Stap 5.4. Verzenden en vastleggen van de wijzigingen.

Stap 6. (Optioneel) De upstream proxy-instellingen voor niet-reagerende time-out configureren

Tip: Aanbevolen wordt deze waarden niet te wijzigen, tenzij u hun gedrag en mogelijke impact volledig begrijpt.

Stap 6.1. Log in op de CLI en voer geavanceerde proxyconfig uit.

Stap 6.2. Selecteer DIVERSEN.

Stap 6.3. Druk op Enter totdat je Enter minimum idle timeout ziet voor het controleren van niet-reagerende upstream proxy (in seconden). U kunt de minimale hoeveelheid tijd configureren, SWA wacht om de upstream proxy die eerder ziek werd verklaard opnieuw te proberen. De standaardwaarde is 10 seconden.

Stap 6.4. Druk op Enter om door te gaan naar de volgende instelling. Bij het definiëren van de maximale inactieve time-out voor het controleren van een niet-reagerende upstream-proxy moet worden opgemerkt dat als deze timeout-waarde wordt bereikt voordat het geconfigureerde aantal herverbindingspogingen is uitgeput (stap 3), de SWA de upstream-proxy als offline beschouwt.

Stap 6.5. Blijf op Enter drukken, totdat u de wizard afsluit, voer commit uit om de wijzigingen op te slaan.

Logboekregistratie

Accesslogs

In de Accesslogs wordt het verkeer dat naar de upstream-proxy wordt geleid, weergegeven als DEFAULT_PARENT gevolgd door de naam van de upstream-proxy. Hierna volgt een voorbeeld:

1775659642.780 462 10.20.3.15 TCP_MISS_SSL/200 129 CONNECT tunnel://www.cisco.com:443/ "AMOJARRA\amojarra" DEFAULT_PARENT/10.48.48.182 - DECRYPT_WEBCAT_7-DPurl-Auith-NONE-NONE-NONE-DefaultGroup-NONE <"IW_comp",8.7,1,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"IW_comp",-,"-","Computers and Internet","-","Unknown","Unknown","-","-",2.23,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -

proxylogs

Vanuit de Proxylogs kunt u de gezondheidsstatus van de upstream proxies controleren. 

Tip: U kunt filteren op peer om logs te bekijken die gerelateerd zijn aan de upstream proxy.

Dit zijn enkele voorbeelden van wat is geconfigureerd met de pogingen om opnieuw verbinding te maken in stap 3 tot twee keer. Nadat de tweede fout is opgetreden bij het verbinden met de upstream proxy, wordt de upstream proxy dood verklaard en verwijdert SWA deze upstream proxy uit de lijst totdat het proxy-proces opnieuw wordt gestart:

Thu Apr  2 13:52:35 2026 Info: PROX_CONNTRACK : 940 : [15968:0] Peer-upstream 10.48.48.182:3128 was healthy, now sick. 
Thu Apr  2 13:52:36 2026 Info: PROX_CONNTRACK : 940 : [15968:0] Peer 10.48.48.182:3128 was sick, now healthy.
...
Thu Apr  2 13:59:37 2026 Info: PROX_CONNTRACK : 60 : [71197:0] Peer 10.48.48.183:3128 remains sick after 2 failures.
Thu Apr  2 13:59:39 2026 Warning: PROX_CONNTRACK : 70 : [71197:0] Peer-upstream 10.48.48.183:3128 declared dead.

Opmerking: als de upstream-proxy niet reageert op TCP SYN-verzoeken, geen HTTP-responscode retourneert of een HTTP 504-respons (Gateway Timeout) retourneert; SWA beschouwt de upstream-proxy als niet beschikbaar en wijzigt de status van Gezond naar Ziek.

Tip: De SWA beschouwt een upstream proxy als gezond als deze een VIA-header retourneert.

Gerelateerde inhoud

Revisiegeschiedenis

Revisie Publicatiedatum Opmerkingen
2.0
21-Oct-2026
Bijgewerkte inleiding, spelling, grammatica, afstand, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid, vaste CCW-waarschuwingen.
1.0
28-Apr-2026
Eerste vrijgave
TAC Authored

Bijgedragen door Cisco-engineers

  • Amirhossein Mojarrad
    technisch consultant

Was dit document nuttig?

FeedbackFeedback

Contact Cisco