Inhoud

Inleiding

Wat is het verschil tussen transparante en voorwaartse proxy-modus?

Inleiding

Dit document beschrijft het verschil tussen de transparante en de proxy-modus op Cisco Web Security Appliance (WSA).

Wat is het verschil tussen transparante en voorwaartse proxy-modus?

Het doel van een proxy is de middenman (proxy) te zijn tussen HTTP-clients en HTTP-servers. Dit betekent specifiek dat het Web Security Appliance (WSA), als web proxy, twee sets TCP-raketten per clientverzoek heeft:

Cliënt > WSA

WSA > Originele server

Hoe de WSA HTTP-proxy het verzoek van de client verkrijgt, kan op twee manieren worden gedefinieerd: Doorzichtig of expliciet.

Elk van deze implementaties heeft verschillende specifieke configuratieopties:

Plaatsing

Methode

Beschrijving

Doorzichtig

Layer 4 Switch (PBR)

Een Layer 4 switch wordt gebruikt om opnieuw te richten op basis van doelpoort 80

Doorzichtig

WCCP

Een WCCP v2-enabled-apparaat (meestal een router, switch, PIX of ASA) omwijst poort 80

Doorzichtig

Bordrukmodus

Dubbele NIC's, virtueel gekoppeld. Verkeer gaat in één NIC en in het andere (niet beschikbaar)

Expliciet

browser ingesteld

Clientbrowser is expliciet ingesteld voor het gebruik van een proxy

Expliciet

.PAC-bestand ingesteld

Clientbrowser wordt expliciet ingesteld voor gebruik van een .PAC-bestand, dat op zijn beurt verwijst naar de proxy

De WSA kan al deze implementaties behalve overbrugde modus gebruiken. Dit zal naar verwachting in de nabije toekomst beschikbaar zijn.

Wanneer verzoeken op een transparante wijze naar de WSA worden terugverwezen, moet de WSA doen alsof het de OCS (oorsprongsinhoud server) is, aangezien de cliënt niet op de hoogte is van het bestaan van een volmacht. Integendeel, indien een verzoek uitdrukkelijk naar de WSA wordt gestuurd, reageert de WSA met haar eigen IP-informatie.

Er zijn een paar verschillen tussen expliciete en transparante client-HTTP-verzoeken:

- Een expliciet verzoek heeft een bestemming IP adres van de geconfigureerde proxy. Een transparant verzoek heeft een IP-adres van de beoogde webserver (DNS opgelost door de client).

- De URI voor een transparant verzoek bevat niet het protocol met de host:

Doorzichtig

GET / HTTP/1.1

Expliciet

RAADPLEEG http://www.google.com/ HTTP/1.1

Beiden bevatten een HTTP Host header die de DNS-host specificeert.

WSA-configuratie

De WSA kan voor "transparant" of "voorwaarts" worden geconfigureerd. Dit is iets misleidend, omdat dit echt "transparant" of "expliciet" modus is, die allebei voorwaartse proxy-implementaties zijn. Omgekeerde proxy is waarbij de proxy is bedoeld om op hetzelfde netwerk te staan als de HTTP-servers en het doel ervan is om inhoud op te slaan voor deze HTTP-servers.

Het enige grote verschil tussen transparante en voorwaartse modus op de WSA is dat de WSA in transparante modus zowel op transparante als expliciete HTTP-verzoeken reageert. Waar in expliciete bewoordingen de WSA ALLEEN op expliciete HTTP-verzoeken reageert.

De WSA stuurt altijd zijn upstreamverzoek als een transparant stijlenverzoek, aangezien de WSA als zijn eigen cliënt handelt, tenzij de WSA is geconfigureerd om specifiek een expliciete upstream proxy te gebruiken.

Hier is nog een verschil tussen transparante en expliciete authenticatie:

Doorzichtig

401 - wordt verzonden van de WSA wanneer verificatie vereist is. Dit is ook wat de OCS zouden sturen.

Expliciet

407 - wordt van de WSA verstuurd om de client te vertellen dat een HTTP-proxy verificatie vereist.