目錄

簡介

必要條件

需求

採用元件

Microsoft更新

繞過Microsoft更新

繞過SWA中的流量

傳遞Microsoft更新的步驟

相關資訊

簡介

本文檔介紹在安全網路裝置(SWA)中繞過Microsoft更新流量的步驟。

必要條件

需求

思科建議您瞭解以下主題：

- SWA管理。

思科建議您安裝以下工具：

- 物理或虛擬SWA

- 對SWA圖形使用者介面(GUI)的管理訪問

採用元件

本文件所述內容不限於特定軟體和硬體版本。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

Microsoft更新

Microsoft更新是Microsoft為其作業系統和軟體應用程式發佈的基本修補程式、安全更新和功能增強。這些更新對於維護電腦和網路裝置的安全、穩定性和效能至關重要。它們可確保系統受到保護，避免出現漏洞，修復錯誤，並將新功能或改進整合到軟體中。

Microsoft Updates對代理伺服器（例如Cisco SWA）的影響可能很大。這些更新通常涉及下載大型檔案或大量較小的檔案，這會佔用相當多的頻寬和Proxy上的處理資源。這可能導致擁塞、網路效能下降和代理基礎設施上的負載增加，從而可能影響整體使用者體驗和其他關鍵網路操作。

繞過Proxy的Microsoft Update流量是應對這些挑戰的一種安全有效的方法。由於Microsoft更新源自受信任的Microsoft伺服器，因此允許此流量繞過Proxy有助於降低代理伺服器上的負載，而不會影響網路安全性。這可確保有效交付基本更新，同時為其他安全和內容過濾任務保留代理資源。但是，必須謹慎實施此類旁路配置，以維護整體網路安全和遵守組織策略。

繞過Microsoft更新

如果您正在考慮避免代理Microsoft Updates流量，主要有兩種方法：

1. 旁路：這涉及配置網路以重定向流量，使其永遠無法到達SWA。

2. 直通：這涉及將SWA配置為既不解密也不掃描Microsoft Updates流量，從而允許它通過代理而無需檢查。

繞過SWA中的流量

要繞過配備SWA的網路中的Microsoft Updates流量，方法會因代理部署設定而異：

部署型別

繞過流量

透明部署

您可以在負責將流量轉送到代理伺服器的路由器或第4層交換機上重定向Microsoft Updates流量。

您可以在SWA圖形使用者介面(GUI)中直接配置旁路設定。

顯式部署

要防止Microsoft Updates流量到達SWA，必須在源配置旁路。這意味著免除客戶端電腦上的相關URL，以確保流量沒有重定向到SWA。

如果繞過特定流量需要大量網路重新設計且不可行，另一種方法是配置SWA以通過特定型別的流量。這可以通過將SWA設定為不解密或掃描指定流量，允許它通過代理而不進行檢查來實現。此方法可確保有效傳送基本流量，同時將對網路效能和代理資源的影響降至最低。

傳遞Microsoft更新的步驟

Passthrough Microsoft Updates流量分為四個主要階段：

階段

步驟

1.為Microsoft更新URL建立自定義URL類別

步驟1.從GUI中，選擇Web Security Manager，然後按一下Custom and External URL Categories。

步驟2.按一下Add 類別以新增自訂URL類別。

步驟3.分配唯一的CategoryName。

步驟4.（可選）新增說明。

步驟5.從清單順序中，選擇第一個類別放在頂部。

步驟6.在Category Typedrop下拉式清單中選擇Local Custom Category。

步驟7.在「站點」部分中新增Microsoft更新URL。

提示：您可以從此連結檢查Microsoft更新清單：步驟2 — 配置WSUS | Microsoft學習

注意：不要複製/貼上Microsoft文檔中的URL;將它們正確格式化為SWA格式。有關詳細資訊，請訪問：在Secure Web Appliance中配置自定義URL類別 — Cisco

步驟8.提交。

2.建立標識配置檔案，以免除Microsoft Updates流量進行身份驗證

步驟9.從GUI中，選擇Web Security Manager，然後按一下Identification Profiles。

步驟10.單擊Add Profile新增配置檔案。

步驟11.使用Enable Identification Profile覈取方塊啟用此配置檔案，或快速禁用此配置檔案而不將其刪除。

步驟12.分配唯一的profileName。

步驟13.（可選）新增說明。

步驟14.從Insert Above下拉選單中，選擇此配置檔案在表中顯示的位置。

步驟15.在User Identification Method部分中選擇Exempt from authentication/identication。

步驟16.在Define Members by Subnet中，如果要為某些特定使用者傳遞Microsoft流量，請輸入應用的IP地址或子網，或者將此欄位留空以包括所有IP地址。

步驟17.在Advanced區段中，選擇Custom URL Categories。

步驟18. 新增為Microsoft更新建立的自定義URL類別。

步驟19.按一下「Done」。

步驟20.提交。

3.建立解密策略以傳遞Microsoft更新流量

步驟21.從GUI中選擇Web Security Manager，然後按一下Decryption Policy。

步驟22. ClickAdd策略新增解密策略。

步驟23.使用Enable Policy復選框啟用此策略。

步驟24.分配唯一的PolicyName。

步驟25.（可選）新增說明。

步驟26.從Insert Above Policy下拉選單中，選擇第一個策略。

步驟27.從Identification Profiles and Users中，選擇您在以上步驟中建立的標識配置檔案。

步驟28.提交。

步驟29.在Decryption Policies頁面的URL Filtering下，點選與此新解密策略關聯的連結。

步驟30.選擇Passthroughas作為Microsoft更新URL類別的操作。

步驟31.提交。

4.建立允許Microsoft更新流量的訪問策略

步驟32.從GUI中選擇Web Security Manager，然後按一下Access Policy。

步驟33. ClickAdd 策略新增訪問策略。

步驟34.使用Enable Policy復選框啟用此策略。

步驟35.分配唯一的PolicyName。

步驟36.（可選）新增說明。

步驟37.從Insert Above Policy下拉選單中，選擇第一個策略。

步驟38.從Identification Profiles and Users中，選擇您在以上步驟中建立的標識配置檔案。

步驟39.提交。

步驟40.在Access Policies頁上，在URL Filtering下，點選與此新訪問策略關聯的連結

步驟41.選擇Alloa是為Microsoft更新建立的自定義URL類別的操作。

步驟42.提交。

步驟43.提交更改。

相關資訊

- Cisco Secure Web Appliance - GD（常規部署）AsyncOS 15.0使用手冊 — 對終端使用者進行策略應用分類[Cisco Secure Web Appliance] - Cisco

- 在Secure Web Appliance中配置自定義URL類別 — Cisco

- 如何免除Office 365流量在思科網路安全裝置(WSA)上進行身份驗證和解密 — 思科

- 使用安全Web裝置最佳實踐 — 思科

- 繞過安全Web裝置中的身份驗證 — Cisco