Este documento descreve a metodologia estruturada para diagnosticar problemas de acesso ao site quando roteado por meio de um proxy baseado em nuvem (Secure Web Gateway/SWG), mas não quando se usa o Direct Internet Access (DIA).
Os indicadores comuns de interferência de proxy incluem:
s_proxy (proxy Nginx) ou m_proxy (Serviço de Proxy Modular/MPS) confirma que o tráfego está com proxy aplicado.openssl s_client -connect www.example.com:443 -showcerts curl com e sem proxy para comparar o comportamento.Esse erro ocorre quando o proxy SWG não pode validar o certificado do servidor de destino. As causas incluem cadeias de certificados expiradas, autoassinadas ou incompletas.
Detalhes técnicos: O proxy Nginx poderá falhar se o servidor upstream depender da busca de AIA (Authority Information Access) para certificados intermediários ausentes, já que o Nginx não lida com o AIA de forma tão harmoniosa quanto o serviço proxy de verificação de arquivos. As incompatibilidades de SNI e SAN durante o handshake TLS também podem acionar falhas.
O erro 517 significa que a verificação de CRL ou OCSP do proxy SWG detectou que o certificado do servidor upstream foi revogado.
O Cisco Secure Access introduzirá um novo recurso chamado "Opções de tratamento de erro de certificado" para desvio de erro granular sem desabilitar totalmente a descriptografia. Os domínios que disparam erros de certificado devido à inspeção podem ser gerenciados usando esse recurso, em vez de listas amplas de "Não descriptografar".
Esta característica existe no Umbrella SIG a partir de hoje. Detalhes de solicitações de recurso para CSA.
O erro 502 indica que o proxy SWG recebeu uma resposta inválida do servidor upstream enquanto atuava como um intermediário.
-Downstream: Cliente para proxy SWG
-Upstream: Proxy SWG para servidor de destino
O erro está sempre na conexão upstream—devido a erros de protocolo, reinicializações de TCP ou cabeçalhos malformados.
Causa: O servidor requer uma cifra não suportada pelo SWG (por exemplo, TLS_CHACHA20_POLY1305_SHA256).
Resolução: Adicione o domínio à lista Descriptografia seletiva.
Testando comandos:
Com proxy: curl -x proxy.sig.umbrella.com:80 -v xyz.com:80 curl -x swg-url-proxy-https.sigproxy.qq.opendns.com:443 -vv -k "https://www.cnn.com" >> nulo
Sem proxy: curl -v www.xyz.com:80
Mac/Linux: curl -vv -o /dev/null -k -L www.cnn.com
Windows: curl -vv -o null -k -L www.cnn.com
Causa: O servidor upstream requer certificados do lado do cliente, que o SWG não suporta.
Resolução: Ignore o domínio do proxy usando a lista de gerenciamento de Domínios externos (Umbrella SIG) ou Ignore o proxy seguro (Cisco Secure Access). Ignorar a inspeção HTTPS sozinha é insuficiente.
Causa: Alguns servidores rejeitam solicitações com o cabeçalho X-Forwarded-For (XFF) adicionado pelo SWG quando a inspeção HTTPS está habilitada.
Resolução: Comparar o comportamento com/sem HTTPS e inspeção de arquivos. Se o erro ocorrer somente quando XFF estiver presente, o servidor Web provavelmente está configurado incorretamente.
Exemplo: curl https://www.xyz.com -k — header 'X-Forwarded-For: 1.1.1.1' -o /dev/null -w "Código de Status: %{http_code}" -s
Código de status: 502 curl https://www.xyz.com -k -o /dev/null -w "Código de Status: %{http_code}" -s
Código de status: 200
O cabeçalho XFF é adicionado para geolocalização. Se o servidor não puder processá-lo, ocorrerá um erro 502.
Se o SWG não puder examinar um arquivo usando a inspeção de arquivos (por exemplo, arquivos protegidos, solicitados por intervalo ou corrompidos), ele bloqueará o download e os relatórios - Bloqueado - Aplicativo potencialmente indesejado (Arquivo protegido)
Categorias e blocos de reputação potencialmente prejudiciais
| Revisão | Data de publicação | Comentários |
|---|---|---|
1.0 |
18-May-2026
|
Versão inicial |