Pergunta:
Como eu configuro o Policy Based Routing (PBR) em um switch multicamada ou em um roteador de Cisco para enviar o tráfego ao WSA?
Ambiente: Ferramenta de segurança da Web de Cisco (WSA), modo transparente - interruptor L4
Quando WSA é configurado no modo transparente usando um interruptor L4, nenhuma configuração está precisada no WSA. A reorientação é controlada pelo interruptor L4 (ou pelo roteador).
É possível usar o Policy Based Routing (PBR) para reorientar o tráfego de web ao WSA. Isto é conseguido combinando o tráfego correto (baseado em portas tcp) e instruindo o roteador/interruptor para reorientar este tráfego ao WSA.
No exemplo seguinte, os dados de WSA/relação do proxy (M1 ou P1 segundo a configuração) estão em uma relação do vlan dedicada do switch multicamada/roteador (Vlan 3) e do roteador de Internet estão em uma relação do vlan dedicada também (Vlan4). Os clientes estão em Vlan1 e em Vlan2.
| Configuração inicial (somente partes relevantes indicadas) |
interface Vlan1
VLAN de usuário 1 do desc
endereço IP 10.1.1.1 255.255.255.0
!
relação Vlan2
VLAN de usuário 2 do desc
endereço IP 10.1.2.1 255.255.255.0
!
relação Vlan3
vlan dedicada de Cisco WSA do desc
endereço IP 192.168.1.1 255.255.255.252
!
relação Vlan4
vlan dedicada do roteador de Internet do desc
endereço IP 192.168.2.1 255.255.255.252
!
rota 0.0.0.0 0.0.0.0 192.168.2.2 IP
|
Dado o exemplo acima, e Cisco WSA que tem um endereço IP de Um ou Mais Servidores Cisco ICM NT de 192.168.1.2, você adicionaria os comandos seguintes estabelecer o Policy Based Routing (PBR):
| Passo 1: Defina o tráfego de web |
! Combine o tráfego de HTTP
a lista de acesso 100 permite tcp 10.1.1.0 0.0.0.255 todo o eq 80
a lista de acesso 100 permite tcp 10.1.2.0 0.0.0.255 todo o eq 80
! Tráfego do fósforo HTTPS
a lista de acesso 100 permite tcp 10.1.1.0 0.0.0.255 todo o eq 443
a lista de acesso 100 permite tcp 10.1.2.0 0.0.0.255 todo o eq 443 |
| Passo 2: Defina um mapa de rota para controlar onde os pacotes output. |
licença 10 de ForwardWeb do mapa de rotas
endereço IP de Um ou Mais Servidores Cisco ICM NT 100 do fósforo
ajuste o salto seguinte 192.168.1.2 IP |
| Passo 3: Aplique o mapa de rota à relação correta. |
! Note que isto deve ser aplicado à interface de origem (lado do cliente)
interface Vlan1
mapa de rotas ForwardWeb da política IP
!
relação Vlan2
mapa de rotas ForwardWeb da política IP |
Note: Este método da reorientação do tráfego (PBR) tem algumas limitações. O problema principal com este método é que o tráfego estará reorientado sempre ao WSA mesmo se o dispositivo não é alcançável (devido aos problemas de rede por exemplo). Assim, não há nenhuma falha sobre a opção.
À ação alternativa esta deficiência, você pode configurar qualquer um do seguinte:
- PBR com opções de seguimento ao usar roteadores Cisco. Esta característica é usada para verificar a Disponibilidade do salto seguinte antes de reorientar o tráfego.
Mais detalhes no seguinte artigo:
Policy Based Routing with the Multiple Tracking Options Feature Configuration Example
- Seguindo opções não esteja disponível para o Switches do Cisco catalyst. Contudo, há uma ação alternativa avançada disponível para conseguir o mesmo comportamento.
Os detalhes podem ser encontrados em seguinte Cisco Wiki:
Policy-Based Routing (PBR) com seguimento para Catalyst 3xxx Switch - Uma ação alternativa usando EEM
Feedback