Bereikaanvraag voor Microsoft Update Traffic in SWA configureren

Inleiding

In dit document worden de stappen beschreven die moeten worden uitgevoerd om Microsoft Traffic Updates toe te staan Range Request in Secure Web Appliance (SWA) te gebruiken.

---

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• SWA-administratie

---

Cisco raadt u aan deze tools te installeren:

• Fysieke of virtuele SWA

• Administratieve toegang tot de grafische gebruikersinterface (GUI) van SWA

---

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

---

bereikaanvraag

Een bereikaanvraag is een functie van een HTTP-protocol waarmee een client (zoals een webbrowser of downloadmanager) slechts een specifiek deel van een bestand van een server kan aanvragen, in plaats van het hele bestand in één keer te downloaden. Dit is handig om onderbroken downloads te hervatten, media te streamen of efficiënt toegang te krijgen tot grote bestanden. Een client geeft het gewenste bytebereik op in de kop Bereik van het HTTP-verzoek en de server reageert met een statuscode van 206 partiële inhoud als deze bereikverzoeken ondersteunt en alleen het gevraagde segment van het bestand levert.

Dit mechanisme verbetert de prestaties en de gebruikerservaring in verschillende scenario's. In videostreaming kan een bereikverzoek bijvoorbeeld een speler alleen de segmenten ophalen die nodig zijn voor het afspelen, waardoor het bandbreedtegebruik wordt verminderd en de reactiesnelheid wordt verbeterd. Op dezelfde manier gebruiken downloadmanagers bereikverzoeken om een bestand in brokken te splitsen en deze parallel te downloaden, waardoor het proces wordt versneld. Range requests spelen ook een sleutelrol in caching en proxy systemen, waardoor gedeeltelijke updates mogelijk worden en redundante gegevensoverdracht wordt verminderd.

---

Range Request in de Proxy-omgeving 

In een proxyomgeving spelen bereikverzoeken een cruciale rol bij het optimaliseren van bandbreedtegebruik en het verbeteren van de efficiëntie van de levering van inhoud. Wanneer bereikverzoeken zijn ingeschakeld, kan de proxyserver alleen de vereiste bytesegmenten van de oorspronkelijke server ophalen en deze lokaal cachen. Hiermee kunnen clients gedeeltelijke inhoud aanvragen, zoals specifieke segmenten van een video of een groot bestand, en deze snel ontvangen vanuit de proxycache, indien beschikbaar. Het maakt ook parallelle downloads en cv-mogelijkheden mogelijk, die gunstig zijn in omgevingen met beperkte bandbreedte of hoge latentie.

Wanneer bereikaanvragen echter zijn uitgeschakeld, moet de proxy het volledige bestand van de oorspronkelijke server ophalen, zelfs als de client slechts een klein deel nodig heeft. Dit leidt tot onnodige gegevensoverdracht, verhoogde belasting op zowel de proxy- als de oorsprongservers en langzamere responstijden voor clients. Het voorkomt ook efficiënte cachestrategieën, omdat de proxy geen gedeeltelijke inhoud kan opslaan of serveren. In streamingscenario's kan dit leiden tot buffervertragingen of een verminderde gebruikerservaring. Het uitschakelen van bereikaanvragen kan om veiligheids- of beleidsredenen worden gedaan, maar het gaat vaak ten koste van prestaties en flexibiliteit.

---

Denk bijvoorbeeld aan een scenario waarbij 10 gebruikers proberen elk 1 MB te downloaden van een bestand van 100 MB via een proxyserver.

Bereikaanvragen uitgeschakeld:

• Wanneer bereikverzoeken zijn uitgeschakeld, kan de proxy niet alleen het segment van 1 MB ophalen dat elke gebruiker nodig heeft. In plaats daarvan moet het voor elk verzoek het volledige 100 MB-bestand van de oorspronkelijke server downloaden. Dit resulteert in:
  • Totaal verkeer van oorsprong naar proxy: 10 × 100 MB = 1000 MB (1 GB)
  • Slechts 10 MB van die gegevens wordt door de klanten gebruikt.
  • De resterende 990 MB wordt verspild, wat leidt tot inefficiënt bandbreedtegebruik en verhoogde belasting van de proxy- en origin-servers.

Bereikaanvragen ingeschakeld:

• Wanneer bereikaanvragen zijn ingeschakeld, haalt de proxy alleen de gevraagde 1 MB per gebruiker op:
  • Totaal verkeer van oorsprong naar proxy: 10 × 1 MB = 10 MB
  • De proxy kan deze segmenten cachen en indien nodig aan andere gebruikers aanbieden.
  • Dit resulteert in 90 keer minder verkeer, snellere responstijden en een aanzienlijk beter gebruik van bronnen.

---

Bereikaanvraag voor Microsoft-updates inschakelen

Hoewel bereikverzoeken de prestaties verbeteren, belemmert dit het scannen van de beveiliging en de handhaving van het beleid binnen SWA-omgevingen, omdat deze systemen gedeeltelijke inhoud niet volledig kunnen inspecteren. Dit artikel beperkt het gebruik van het bereik van verzoeken uitsluitend tot Microsoft Update-verkeer.

Waarschuwing: Het inschakelen van het doorsturen van bereikaanvragen kan de beleidsgebaseerde efficiëntie van Application Visibility and Control (AVC) verstoren en de beveiliging in gevaar brengen.

Stappen om Range Request alleen voor Microsoft-updates in te schakelen

Stap 1. De aanvraag voor bereik inschakelen	Stap 1.1. Klik in de GUI op Beveiligingsservices en kies Webproxy. Stap 1.2. Klik op Instellingen bewerken. Stap 1.3. Schakel het selectievakje Range Request Forwarding inschakelen in. Stap 1.4. Klik op Verzenden. Afbeelding - Verzending van aanvraag voor bereik inschakelen
Stap 2. Een aangepaste URL-rubriek maken voor Microsoft Updates-URL's	Stap 2.1. Kies in de GUI Web Security Manager en klik op Aangepaste en externe URL-rubrieken. Stap 2.2. Klik op Rubriek toevoegen om een aangepaste URL-rubriek toe te voegen. Stap 2.3. Een unieke naam van een rubriek toewijzen. Stap 2.4. (Optioneel) Beschrijving toevoegen. Stap 2.5. Kies in Lijstvolgorde de eerste rubriek die u bovenaan plaatst. Stap 2.6. Kies in de vervolgkeuzelijst Categorietype de optie Lokale aangepaste rubriek. Stap 2.7. Voeg URL's van Microsoft Updates toe in de sectie Sites. Tip: U kunt de lijst met Microsoft-updates bekijken via deze link: Stap 2 - WSUS configureren | Microsoft Learn Let op: kopieer/plak de URL's niet zoals ze in de Microsoft-documenten worden vermeld; formatteer ze niet correct als SWA-indeling. Ga voor meer informatie naar: Aangepaste URL-rubrieken configureren in Secure Web Appliance - Cisco Hierna volgt een voorbeeld: http://windowsupdate.microsoft.com ===> windowsupdate.microsoft.com http://*.windowsupdate.microsoft.com ===> .windowsupdate.microsoft.com Stap 2.8. Klik op Verzenden. Afbeelding - Een aangepaste URL-rubriek maken
Stap 3. (Optioneel) Maak een identificatieprofiel om Microsoft Updates-verkeer vrij te stellen van verificatie Opmerking: deze actie is bedoeld om de verificatielast op de SWA voor het verkeer naar Microsoft Updates te verminderen.	Stap 3.1. Kies in de GUI Web Security Manager en klik op Identificatieprofielen. Stap 3.2. Klik op Profiel toevoegen om een profiel toe te voegen. Stap 3.3. Zorg ervoor dat het selectievakje Identificatieprofiel inschakelen is ingeschakeld. Stap 3.4. Een unieke profielnaam toewijzen. Stap 3.5. (Optioneel) Beschrijving toevoegen. Stap 3.6. Kies in de vervolgkeuzelijst Invoegen boven waar dit profiel in de tabel moet worden weergegeven. Stap 3.7. In het gedeelte Gebruikersidentificatiemethode kiest u Vrijstellen van verificatie/identificatie. Stap 3.8. Als u Microsoft-verkeer voor specifieke gebruikers wilt doorgeven, voert u in het veld Leden definiëren per subnet de IP-adressen of subnetten in die van toepassing zijn, of laat u dit veld leeg om alle IP-adressen op te nemen.  Stap 3.9. Kies Aangepaste URL-rubrieken in het gedeelte Geavanceerd. Stap 3.10. Voeg de aangepaste URL-rubriek toe die is gemaakt voor Microsoft-updates. Stap 3.11. Klik op Gereed. Stap 3.12. Klik op Verzenden.  Afbeelding - Identificatieprofiel maken
Stap 4. (Optioneel) Maak een decoderingsbeleid om door het Microsoft-updateverkeer te gaan  Opmerking: Microsoft Updates gebruiken HTTP- en HTTPS-verkeer om updatelinks te leveren. Deze actie verminderde de decoderingsbelasting op de SWA.	Stap 4.1. Kies in de GUI Web Security Manager en klik op Decryptiebeleid. Stap 4.2. Klik op Beleid toevoegen om een decoderingsbeleid toe te voegen. Stap 4.3. Een unieke naam voor beleid toewijzen. Stap 4.4. (Optioneel) Beschrijving toevoegen. Stap 4.5. Kies in de vervolgkeuzelijst Bovenstaand beleid invoegen het eerste beleid. Stap 4.6. In de Identificatieprofielen en Gebruikers kiest u Een of meer Identificatieprofielen selecteren. Stap 4.7. Selecteer het identificatieprofiel dat u in stap 3 hebt gemaakt en ga naar stap 4.11. Stap 4.8. Als u geen ID-profiel hebt gemaakt voor de Windows-updates, kiest u in de sectie Geavanceerd voor Aangepaste URL-rubrieken. Stap 4.9. Voeg de aangepaste URL-categorie die is gemaakt voor de Microsoft-updates in stap 2 toe. Stap 4.10. Klik op Gereed. Stap 4.11. Klik op Verzenden. Afbeelding - Een decoderingsbeleid maken Stap 4.12. Klik op de pagina Decryptiebeleid onder URL-filtering op de koppeling die is gekoppeld aan het nieuwe Decryptiebeleid. Stap 4.13. Selecteer Doorgeven als de actie voor de URL-categorie Microsoft Updates. Afbeelding - Stel de Action Pass Through in voor de URL-categorie Stap 4.14. Klik op Verzenden.
Stap 5. Maak een toegangsbeleid om Range Request voor Microsoft Traffic Updates toe te staan	Stap 5.1. Klik in de GUI op Webbeveiligingsbeheer en kies Toegangsbeleid. Stap 5.2. Klik op Beleid toevoegen om een toegangsbeleid toe te voegen. Stap 5.3. Een unieke naam voor beleid toewijzen. Stap 5.4. (Optioneel) Beschrijving toevoegen. Stap 5.5. Kies in de vervolgkeuzelijst Bovenstaand beleid invoegen het eerste beleid. Stap 5.6. In de Identificatieprofielen en Gebruikers kiest u Een of meer Identificatieprofielen selecteren. Stap 5.7. Selecteer het identificatieprofiel dat u in stap 3 hebt gemaakt en ga naar stap 5.11. Stap 5.8. Als u geen ID-profiel voor de Windows Update hebt gemaakt in het gedeelte Geavanceerd, kiest u Aangepaste URL-rubrieken. Stap 5.9. Voeg de aangepaste URL-categorie die is gemaakt voor de Microsoft-updates in stap 2 toe. Stap 5.10. Klik op Gereed. Stap 5.11. Verzenden. Afbeelding - Het toegangsbeleid maken Stap 5.12. Klik op de pagina Toegangsbeleid onder URL-filtering op de koppeling die is gekoppeld aan het nieuwe Toegangsbeleid. Stap 5.13. Selecteer Toestaan als de actie voor de categorie Aangepaste URL die is gemaakt voor de Microsoft-updates. Stap 5.14. Klik op Verzenden. Afbeelding - De actie Toestaan voor de URL-categorie instellen Stap 5.15. Klik op de pagina Toegangsbeleid onder Toepassingen op de koppeling die is gekoppeld aan het nieuwe Toegangsbeleid. Afbeelding - Zichtbaarheid en controle van toepassingen bewerken Stap 5.16. Selecteer in het gedeelte Toepassingsinstellingen bewerken de optie Aangepaste instellingen voor toepassingen definiëren. Stap 5.17. Klik in het gedeelte Toepassingsinstellingen op Alles bewerken voor Games-toepassing en stel de actie in op Blokkeren. Stap 5.18. Klik op Apply (Toepassen). Afbeelding - Eén toepassingsactie instellen om te blokkeren Stap 5.19. Blader omlaag naar de sectie Instellingen voor bereik aanvragen voor beleid, zorg ervoor dat de aanvragen voor bereik doorsturen is geselecteerd. Afbeelding - Instellingen voor bereik aanvragen voor beleid Stap 5.20. Klik op Verzenden.  Stap 5.21. Klik op de pagina Toegangsbeleid onder Toepassingen op de koppeling die is gekoppeld aan het algemene beleid. Image - Standaardinstellingen voor toepassingsbeleid Stap 5.22. Scroll naar beneden naar de sectie Instellingen bereik aanvragen voor beleid, zorg ervoor dat Do Not Forward bereik aanvragen is geselecteerd, Stap 5.23. Veranderingen vastleggen.

Toegangslogboeken wijzigen

Voor extra zichtbaarheid van de bereikaanvragen uit de toegangslogboeken kunt u de volgende aangepaste velden toevoegen:

[clientbereik = %<bereik:]	Geeft het bereik weer, aangevraagd door de client (bytes)
[content=%>Inhoudslengte:]	Geeft de grootte van de gedownloade inhoud (bytes) weer

Raadpleeg voor meer informatie over het toevoegen van een aangepast veld aan de SWA-toegangslogboeken de handleiding Prestatieparameter configureren in toegangslogboeken.

---

Verificatie

Voer deze CURL-opdracht uit om een bereikaanvraag naar de SWA te sturen:

curl -vvvk -H "Pragma: no-cache" -x 10.48.48.181:3128 -H 'Range: bytes=0-100' 'http://catalog.sf.dl.delivery.mp.microsoft.com/filestreamingservice/files/f263aa64-f367-42f0-9cad-328f342b93f7/public/windows11.0-kb5043080-arm64_df540a05f9b118e339c5520f4090bb5d450f090b.msu' -o /dev/null  -k

---

Aan de uitgang van de CURL zie je de HTTP-respons HTTP/1.1 206:

> GET http://catalog.sf.dl.delivery.mp.microsoft.com/filestreamingservice/files/f263aa64-f367-42f0-9cad-328f342b93f7/public/windows11.0-kb5043080-arm64_df540a05f9b118e339c5520f4090bb5d450f090b.msu HTTP/1.1
> Host: catalog.sf.dl.delivery.mp.microsoft.com
> User-Agent: curl/8.7.1
> Accept: */*
> Proxy-Connection: Keep-Alive
> Pragma: no-cache
> Range: bytes=0-100
>
* Request completely sent off
< HTTP/1.1 206 Partial Content

---

In de toegangslogboeken ziet u de actie TCP_CLIENT_REFRESH_MISS/206:

1773942471.096 14 10.190.0.206 TCP_CLIENT_REFRESH_MISS/206 860 GET http://catalog.sf.dl.delivery.mp.microsoft.com/filestreamingservice/files/f263aa64-f367-42f0-9cad-328f342b93f7/public/windows11.0-kb5043080-arm64_df540a05f9b118e339c5520f4090bb5d450f090b.msu - DEFAULT_PARENT/proxy.upstream.cisco.com application/octet-stream ALLOW_CUSTOMCAT_12-AP_Windows_Update-MS_Update_No_Auth-NONE-NONE-NONE-DefaultGroup-NONE <"C_Wind",-,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"-",-,"-","-","-","-","-","-","-",491.43,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - - [Client Range = "bytes=0-100"] [content= "101"]

---

Gerelateerde inhoud

• Gebruikershandleiding voor AsyncOS 15.0 voor Cisco Secure Web Appliance - GD (Algemene implementatie) - Eindgebruikers classificeren voor beleidstoepassing [Cisco Secure Web Appliance] - Cisco
• Aangepaste URL-rubrieken configureren in Secure Web Appliance - Cisco
• Office 365-verkeer vrijstellen van verificatie en decodering op Cisco Web Security Appliance (WSA) - Cisco
• Prestatieparameter configureren in toegangslogboeken
• Best practices voor veilige webtoepassingen gebruiken - Cisco
• Verificatie omzeilen in beveiligd webtoestel - Cisco

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
3.0	20-Oct-2026	Bijgewerkte spelling, grammatica, spatiëring, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid, vaste CCW-waarschuwingen.
2.0	29-Jul-2026	Eerste vrijgave
1.0	25-Mar-2026	Eerste vrijgave