繞過安全Web裝置中的Microsoft更新流量
簡介
本文檔介紹在安全網路裝置(SWA)中繞過Microsoft更新流量的步驟。
必要條件
需求
思科建議您瞭解以下主題：
- SWA管理。
思科建議您安裝以下工具：
- 物理或虛擬SWA
- 對SWA圖形使用者介面(GUI)的管理訪問
採用元件
本文件所述內容不限於特定軟體和硬體版本。
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。
Microsoft更新
Microsoft更新是Microsoft為其作業系統和軟體應用程式發佈的基本修補程式、安全更新和功能增強。這些更新對於維護電腦和網路裝置的安全、穩定性和效能至關重要。它們可確保系統受到保護，避免出現漏洞，修復錯誤，並將新功能或改進整合到軟體中。
Microsoft Updates對代理伺服器（例如Cisco SWA）的影響可能很大。這些更新通常涉及下載大型檔案或大量較小的檔案，這會佔用相當多的頻寬和Proxy上的處理資源。這可能導致擁塞、網路效能下降和代理基礎設施上的負載增加，從而可能影響整體使用者體驗和其他關鍵網路操作。
繞過Proxy的Microsoft Update流量是應對這些挑戰的一種安全有效的方法。由於Microsoft更新源自受信任的Microsoft伺服器，因此允許此流量繞過Proxy有助於降低代理伺服器上的負載，而不會影響網路安全性。這可確保有效交付基本更新，同時為其他安全和內容過濾任務保留代理資源。但是，必須謹慎實施此類旁路配置，以維護整體網路安全和遵守組織策略。
繞過Microsoft更新
如果您正在考慮避免代理Microsoft Updates流量，主要有兩種方法：
- 旁路：這涉及配置網路以重定向流量，使其永遠無法到達SWA。
- 直通：這涉及將SWA配置為既不解密也不掃描Microsoft Updates流量，從而允許它通過代理而無需檢查。
繞過SWA中的流量
要繞過配備SWA的網路中的Microsoft Updates流量，方法會因代理部署設定而異：
|
部署型別 |
繞過流量 |
|
透明部署 |
您可以在負責將流量轉送到代理伺服器的路由器或第4層交換機上重定向Microsoft Updates流量。 |
|
您可以在SWA圖形使用者介面(GUI)中直接配置旁路設定。 |
|
|
顯式部署 |
要防止Microsoft Updates流量到達SWA，必須在源配置旁路。這意味著免除客戶端電腦上的相關URL，以確保流量沒有重定向到SWA。 |
如果繞過特定流量需要大量網路重新設計且不可行，另一種方法是配置SWA以通過特定型別的流量。這可以通過將SWA設定為不解密或掃描指定流量，允許它通過代理而不進行檢查來實現。此方法可確保有效傳送基本流量，同時將對網路效能和代理資源的影響降至最低。
傳遞Microsoft更新的步驟
Passthrough Microsoft Updates流量分為四個主要階段：
|
階段 |
步驟 |
|
1.為Microsoft更新URL建立自定義URL類別 |
步驟1.從GUI中，選擇Web Security Manager，然後按一下Custom and External URL Categories。 步驟5.從清單順序中，選擇第一個類別放在頂部。 步驟6.在Category Typedrop下拉式清單中選擇Local Custom Category。 步驟7.在「站點」部分中新增Microsoft更新URL。 
提示：您可以從此連結檢查Microsoft更新清單：步驟2 — 配置WSUS | Microsoft學習 
注意：不要複製/貼上Microsoft文檔中的URL;將它們正確格式化為SWA格式。有關詳細資訊，請訪問：在Secure Web Appliance中配置自定義URL類別 — Cisco 步驟8.提交。 |
|
2.建立標識配置檔案，以免除Microsoft Updates流量進行身份驗證 |
步驟9.從GUI中，選擇Web Security Manager，然後按一下Identification Profiles。 步驟15.在User Identification Method部分中選擇Exempt from authentication/identication。 步驟16.在Define Members by Subnet中，如果要為某些特定使用者傳遞Microsoft流量，請輸入應用的IP地址或子網，或者將此欄位留空以包括所有IP地址。 步驟17.在Advanced區段中，選擇Custom URL Categories。 步驟18. 新增為Microsoft更新建立的自定義URL類別。 步驟19.按一下「Done」。 步驟20.提交。 |
|
3.建立解密策略以傳遞Microsoft更新流量 |
步驟21.從GUI中選擇Web Security Manager，然後按一下Decryption Policy。 步驟22. ClickAdd策略新增解密策略。 步驟23.使用Enable Policy復選框啟用此策略。 步驟27.從Identification Profiles and Users中，選擇您在以上步驟中建立的標識配置檔案。 步驟28.提交。 步驟29.在Decryption Policies頁面的URL Filtering下，點選與此新解密策略關聯的連結。 步驟30.選擇Passthroughas作為Microsoft更新URL類別的操作。 步驟31.提交。 |
|
4.建立允許Microsoft更新流量的訪問策略 |
步驟32.從GUI中選擇Web Security Manager，然後按一下Access Policy。 步驟33. ClickAdd 策略新增訪問策略。 步驟34.使用Enable Policy復選框啟用此策略。 步驟38.從Identification Profiles and Users中，選擇您在以上步驟中建立的標識配置檔案。 步驟39.提交。 步驟40.在Access Policies頁上，在URL Filtering下，點選與此新訪問策略關聯的連結 步驟41.選擇Alloa是為Microsoft更新建立的自定義URL類別的操作。 步驟42.提交。 步驟43.提交更改。 |
相關資訊
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
2.0 |
14-Feb-2025 |
格式設定，更新。 |
1.0 |
11-Oct-2024 |
初始版本 |
意見