配置安全Web设备以允许访客访问

下载选项

PDF (2.3 MB)
在各种设备上使用 Adobe Reader 查看
ePub (2.0 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (1.7 MB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2026 年 10 月 5 日

文档 ID:225646

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍允许未安装解密证书的用户通过安全网络设备(SWA)访问互联网的步骤。

先决条件

要求

Cisco 建议您了解以下主题：

已安装物理或虚拟SWA。
许可证已激活或安装。
安装向导已完成。
对SWA图形用户界面(GUI)的管理访问。

使用的组件

本文档不限于特定的软件和硬件版本。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

场景概述

本文讨论10.10.10.0/24 Wi-Fi子网内的网络访问控制方案。环境由两个不同的用户组组成，需要不同的安全和访问策略：

受管设备:公司发放的笔记本电脑，它们经过完全身份验证并安装了SWA解密证书。这些设备受信任，通常受标准企业访问策略的约束。
非托管/访客设备:未经身份验证且缺少SWA解密证书的个人笔记本电脑和移动设备。

目标

该公司旨在对未受管设备实施限制性Web访问策略，限制其连接到允许的URL的特定子集，同时确保公司资源保持安全。

注意：由于解密证书在非受管设备上不受信任，因此无法解密HTTPS流量，并且必须将操作设置为通过。

配置步骤

步骤1.创建标识配置文件。

1.1.从SWA GUI中，导航到Web Security Manager并选择Identification Profile。

1.2.点击添加标识配置文件。

1.3.定义配置文件名称。

1.4.（可选）定义说明。

1.5.选择Authenticate Users in Identification and Authentication。

1.6.从选择领域或序列中选择Active Directory领域。

1.7.从Select a Scheme中，选择所需的身份验证协议。

提示：请勿在Select a Scheme列表中选择Basic Authentication。

1.8.选中支持访客权限的复选框。

1.9.（可选）根据您的设计，您可以通过启用Apply same surrogate settings to explicit forward requests来启用Surrogate。

警告：由于无法解密流量，因此透明部署中不选择Persistent Cookie或Session Cookie。

1.10.在“按子网定义成员”中定义IP地址子网。

1.11.提交并提交更改。

Image - Define the Identification Profile 图像 — 定义标识配置文件

步骤2.（可选）为允许和阻止的URL创建自定义URL类别

2.1.从GUI导航到Web Security Manager并选择Custom and External URL Categories。

2.2.单击Add Category以创建新的自定义URL类别。

2.3.输入新类别的“名称”。

2.4.定义要阻止访问的网站的域和/或子域。

2.5.提交更改。

2.6.使用相同的步骤为允许访问的网站创建URL类别。

Image - Define Custom URL Category 图像 — 定义自定义URL类别

步骤3.创建受管设备的解密策略

3.1.在GUI中，导航到Web Security Manager，然后选择Decryption Policies

3.2.单击Add Policy。

3.3.输入Name作为新策略。

3.4.从Identification Profiles and Users下拉菜单中选择选择一个或多个Identification Profiles。

3.5.选择在步骤1中创建的标识配置文件。

3.6.选择All Authenticated Users。

3.7.单击提交。

Create Decryption Policy for Managed Devices 为受管设备创建解密策略

3.8.在解密策略(Decryption Policies)页面中，点击新策略的URL过滤(URL Filtering)链接。

3.9.（可选）您可以添加自定义URL类别，方法是点击Select Custom Categories Select Custom Categories，然后在类别名称前面选择Include in Policy

3.10.为每个自定义和外部URL类别过滤和预定义URL类别过滤配置操作。

3.11.单击提交

映像 — 配置解密策略的操作

步骤4.创建非托管设备的解密策略

4.1.在GUI中，导航到Web Security Manager并选择解密策略

4.2.单击Add Policy。

4.3.输入Name作为新策略。

4.4.从Identification Profiles and Users下拉菜单中选择选择一个或多个Identification Profiles。

4.5.选择在步骤1中创建的标识配置文件。

4.6.选择访客（身份验证失败的用户）。

4.7.单击提交。

Create Decryption Policy for Unmanaged Devices 创建非托管设备的解密策略

4.8.在解密策略页中，单击新策略的URL过滤链接。

4.9.（可选）您可以添加任何自定义URL类别，方法是：点击选择自定义类别(Select Custom Categories)，然后在类别名称前选择Include in Policy)

4.10.为每个自定义和外部URL类别过滤和预定义URL类别过滤配置操作。

注意：请勿使用Decrypt作为操作，因为SWA解密证书在非受管设备上不受信任。

Image - Decryption Action for Unmanaged Devices 映像 — 非托管设备的解密操作

4.11.向下滚动到“未分类的URL”部分，然后选择正确的操作。

Image - Uncategorized URLs 图像 — 未分类的URL

提示：对于安全方面，最好将操作设置为Drop。如果任何URL需要访问，您可以将它们添加到分配给策略的自定义URL类别中。

4.12.单击“提交”。

步骤5.创建受管设备的访问策略

5.1.在GUI中，导航到Web Security Manager并选择访问策略

5.2.单击Add Policy。

5.3.输入新策略的名称。

5.4.从Identification Profiles and Users下拉菜单中选择选择一个或多个Identification Profiles。

5.5.选择在步骤1中创建的标识配置文件。

5.6.选择All Authenticated Users。

5.7.单击提交。

Image - Access Policy for Managed Devices 映像 — 受管设备的访问策略

5.8.在Access Policies页中，单击新策略的URL Filtering链接。

5.9.（可选）您可以添加任何自定义URL类别，方法是：点击选择自定义类别(Select Custom Categories)，然后在类别名称前面选择Include in Policy（包含在策略中）

5.10.为每个自定义和外部URL类别过滤和预定义URL类别过滤配置操作。

Image - Access Policy URL Filtering for Managed Devices 映像 — 受管设备的访问策略URL过滤

5.11.单击Submit。

步骤6.创建非受管设备的访问策略

6.1.在GUI中，导航到Web Security Manager并选择访问策略

6.2.单击Add Policy。

6.3.输入Name作为新策略。

6.4.从Identification Profiles and Users下拉菜单中选择选择一个或多个Identification Profiles。

6.5.选择在步骤1中创建的标识配置文件。

6.6.选择访客（身份验证失败的用户）。

6.7.单击提交。

Image - Access Policy for Unmanaged Devices 映像 — 非受管设备的访问策略

6.8.在Access Policies页中，单击新策略的URL Filtering链接。

6.9.（可选）您可以添加任何自定义URL类别，方法是：点击选择自定义类别(Select Custom Categories)，然后在类别名称前面选择Include in Policy（包含在策略中）

6.10.为每个自定义和外部URL类别过滤和预定义URL类别过滤配置操作。

Image - Access Policy URL Filtering for Unmanaged Devices 映像 — 非受管设备的访问策略URL过滤

6.11.向下滚动“未分类的URL”部分，选择正确的操作。

Image - Access Policy Uncategorized URLs 图像 — 访问策略未分类的URL

提示：对于安全方面，最好将操作设置为Block。如果任何URL需要访问，您可以将它们添加到分配给策略的自定义URL类别中。

6.12.单击提交

步骤7.（可选）为受管设备创建思科数据安全策略

注意：如果不希望过滤受管设备的上传流量，可以跳过此步骤。

7.1.在GUI中，导航到Web Security Manager并选择Cisco Data Security。

7.2.单击Add Policy。

7.3.输入新策略的名称。

7.4.从Identification Profiles and Users下拉菜单中选择选择一个或多个Identification Profiles。

7.5.选择在步骤1中创建的标识配置文件。

7.6.选择All Authenticated Users（所有经过身份验证的用户）。

7.7.单击提交。

Image - Cisco Data Security Policy for Managed Devices 映像 — 适用于受管设备的思科数据安全策略

7.8.在Cisco Data Security Policies页中，点击新策略的URL Filtering链接。

7.9.（可选）您可以通过点击选择自定义类别(Select Custom Categories)，并在类别名称前面选择Include in Policy来添加任何自定义URL类别

7.10.为每个自定义和外部URL类别过滤和预定义URL类别过滤配置操作。

Image - Upload Action for Managed Devices 映像 — 受管设备的上传操作

7.11.单击提交。

步骤8.（可选）创建非托管设备的思科数据安全策略

注意：如果不想过滤非托管设备的上传流量，则可以跳过此步骤。

8.1.在GUI中，导航到Web Security Manager并选择Cisco Data Security。

8.2.单击Add Policy。

8.3.输入新策略的名称。

8.4.从Identification Profiles and Users下拉菜单中选择选择一个或多个Identification Profiles。

8.5.选择在步骤1中创建的标识配置文件。

8.6.选择All Authenticated Users（所有经过身份验证的用户）。

8.7.单击提交。

Image - Cisco Data Security Policy for Unmanaged Devices 映像 — 适用于非受管设备的思科数据安全策略

8.8.在Cisco Data Security Policies页中，点击新策略的URL Filtering链接。

8.9.（可选）您可以添加任何自定义URL类别，方法是：点击选择自定义类别(Select Custom Categories)，然后在类别名称前选择Include in Policy)

8.10.为每个自定义和外部URL类别过滤和预定义URL类别过滤配置操作。

Image - Upload Action for Unmanaged Devices 映像 — 非受管设备的上传操作

8.11.向下滚动“未分类的URL”部分，选择正确的操作。

Image - Upload Action for Uncategorized URLs 图像 — 未分类URL的上传操作

提示：对于安全方面，最好将操作设置为Block。如果任何URL需要访问，您可以将它们添加到分配给策略的自定义URL类别中。

8.12.单击提交

步骤9.保存更改

9.1.确定更改

版本	发布日期	备注
3.0	05-Oct-2026	重新认证、格式化、语法。
2.0	29-Jul-2026	首次公开发布
1.0	24-Mar-2026	初始版本