繞過安全Web裝置中的身份驗證

簡介

本檔案介紹如何在Secure Web Appliance(SWA)中繞過驗證。

必要條件

需求

思科建議您瞭解以下主題：

• SWA管理。

思科建議您安裝以下工具：

• 物理或虛擬SWA

• 對SWA圖形使用者介面(GUI)的管理訪問

採用元件

本文件所述內容不限於特定軟體和硬體版本。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

免除身份驗證 

對思科SWA中的某些使用者或系統免驗證對於保持運營效率和滿足特定要求至關重要。首先，一些使用者或系統需要不中斷地訪問可能受身份驗證過程阻礙的關鍵資源或服務。例如，執行定期更新或備份的自動化系統或服務帳戶需要無縫訪問，而不會出現身份驗證機制導致的延遲或潛在故障。

此外，有些情況下，Web服務提供商建議不要使用Proxy來訪問其服務。在這種情況下，免驗證可確保符合提供商准則並保持服務可靠性。此外，為了有效地阻止某些使用者的流量，通常必須首先免除他們的身份驗證，然後應用適當的阻止策略。此方法允許對訪問許可權進行精確控制。

在某些情況下，正在訪問的Web服務是受信任的，並且普遍可以接受的，例如Microsoft更新。免除此類服務的身份驗證可簡化所有使用者的訪問。此外，存在使用者作業系統或應用程式不支援在SWA中配置的身份驗證機制的情況，需要旁路以確保連線。

最後，具有固定IP地址且沒有使用者登入且訪問受限、受信任的Internet的伺服器不需要身份驗證，因為它們的訪問模式是可預測且安全的。

通過在戰略上免除對這些案例的身份驗證，組織可以在安全需求和運營效率之間取得平衡。

Cisco SWA中免除身份驗證的方法

SWA中的豁免認證可通過各種方法實現，每種方法均根據特定情景和要求定製。以下是一些配置身份驗證豁免的常見方法：

• IP地址或子網掩碼：最直接的方法之一就是將特定IP地址或整個子網排除在身份驗證之外。這對於具有固定IP地址或受信任網段的伺服器特別有用，這些伺服器需要不間斷地訪問網際網路或內部資源。通過在SWA配置中指定這些IP地址或子網掩碼，您可以確保這些系統繞過身份驗證過程。

• 代理埠：您可以配置SWA以根據特定代理埠免除流量。當某些應用程式或服務使用指定埠進行通訊時，此功能非常有用。通過標識這些埠，可以設定SWA以繞過這些埠上的流量的身份驗證，從而確保相關應用程式或服務的無縫訪問。

• URL類別：另一種方法是根據URL類別免除身份驗證。這可以包括預定義的思科類別和根據貴公司的特定需求定義的自定義URL類別。例如，如果某些Web服務（如Microsoft更新）被視為受信任且普遍可接受，則可以配置SWA以繞過這些特定URL類別的身份驗證。這可確保所有使用者無需身份驗證即可訪問這些服務。

• 使用者代理：在處理不支援所配置的身份驗證機制的特定應用程式或裝置時，基於使用者代理的免除身份驗證非常有用。通過標識這些應用程式或裝置的使用者代理字串，您可以配置SWA以繞過來自它們的流量的身份驗證，從而確保無縫連線。

繞過身份驗證的步驟 

以下是建立免驗證身份配置檔案的步驟：

步驟1。在GUI中，選擇Web Security Manager，然後按一下Identification Profiles。
步驟2.按一下Add Profile以新增設定檔。
步驟3.使用Enable Identification Profile覈取方塊啟用此配置檔案，或快速禁用此配置檔案而不將其刪除。
步驟4.分配唯一的配置檔案名稱。
步驟5.（可選）新增說明。
步驟6.從Insert Above下拉式清單中選擇此設定檔會在表中顯示的位置。

步驟7.在User Identification Method部分，選擇Exempt from authentication/identication。

步驟8.在Define Members by Subnet中，輸入應用此標識配置檔案的IP地址或子網。您可以使用IP地址、無類域間路由(CIDR)塊和子網。

步驟9.（可選）按一下Advanced以定義其他成員資格條件，例如Proxy Ports、URL Categories或User Agents。

有關如何配置自定義URL類別的詳細資訊，請訪問：配置安全Web裝置中的自定義URL類別 — Cisco

映像 — 建立ID配置檔案以繞過身份驗證的步驟

步驟10. Submit和Commit更改。

相關內容

• Cisco Secure Web Appliance - GD（常規部署）AsyncOS 15.0使用手冊 — 對終端使用者進行策略應用分類[Cisco Secure Web Appliance] - Cisco
• 在Secure Web Appliance中配置自定義URL類別 — Cisco
• 如何免除Office 365流量在思科網路安全裝置(WSA)上進行身份驗證和解密 — 思科

修訂記錄

修訂	發佈日期	意見
2.0	21-Oct-2026	重新認證 — 更新的格式
1.0	07-Oct-2024	初始版本