????Web??????
Author: Cisco Systems, Inc.
Date: 2026-09-09T05:00:00+00:00
Description: ????????????(SWA)?????????

目錄

簡介

必要條件

需求

採用元件

不同型別的旁路

按部署型別列出的SWA旁路過程

在顯式部署中繞過流量

PAC檔案配置

瀏覽器配置(Microsoft Edge、Internet Explorer、Google Chrome)

瀏覽器配置(Mozilla Firefox)

瀏覽器配置(Apple Safari)

組策略配置

在透明部署中繞過流量

SWA旁路設定

重定向來自WCCP/PBR路由器的流量

配置SWA中的直通和允許流量

相關資訊

簡介

本檔案介紹在安全網路裝置(SWA)中繞過流量的步驟。

必要條件

需求

思科建議您瞭解以下主題：

- SWA管理。

- 基本網路和代理通訊協定

思科建議您安裝以下工具：

- 物理或虛擬SWA

- 對SWA圖形使用者介面(GUI)的管理訪問

採用元件

本文件所述內容不限於特定軟體和硬體版本。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

不同型別的旁路

在SWA中，有三種不同的概念可以繞過流量到達SWA，這取決於您的代理部署（顯式或透明部署），或者由SWA分析和掃描。以下是這三個概念的簡要概述：

- 旁路:一種阻止流量到達SWA的設定，可降低網路介面卡(NIC)利用率，並消除使用者和裝置之間的會話需求。

- 通過:此配置會阻止SWA解密HTTPS流量。儘管如此，全部門性做法繼續促進兩場不同的會議：一個位於客戶端和SWA之間，另一個位於SWA和Web伺服器之間。

- 允許:訪問策略中的設定，其中HTTP或解密的流量跳過內部SWA引擎（如AMP、Sophos、WebRoot和應用程式過濾器）的檢查。在這種情況下，SWA中仍有兩個會話在使用中。

影象 — 比較圖

按部署型別列出的SWA旁路過程

旁路過程因代理部署模型而異。以下是每種型別的簡要概述：

- 顯式部署：使用者端手動設定為將流量導向代理。

- 透明部署：網路基礎設施自動將流量重定向到Proxy，無需客戶端配置。

在顯式部署中繞過流量

要繞過顯式部署中的流量，必須將客戶端配置為不將所需URL的Web請求轉發到SWA。如以下網路圖所示，某些流量直接前往防火牆或預設閘道以繞過SWA（路徑編號2）。

映像 — 繞過顯式部署中的流量

根據您的顯式代理部署，您可以免除某些URL重定向到SWA。

顯式代理配置

排除URL訪問SWA的步驟

PAC檔案配置

根據您配置PAC檔案的方式，您可以定義例外清單並將操作設定為DIRECT。

以下是一些繞過私有IP位址到達SWA的範例：
var resolved_ip = dnsResolve(host);

if (isInNet(resolved_ip, "10.0.0.0", "255.0.0.0") ||

isInNet(resolved_ip, "172.16.0.0", "255.240.0.0") ||

isInNet(resolved_ip, "192.168.0.0", "255.255.0.0") ||

isInNet(resolved_ip, "127.0.0.0", "255.255.255.0"))

return "DIRECT";

以下是繞過流量至www的範例。cisco.com從重定向SWA:

if (localHostOrDomainIs(host, "www.cisco.com")) return "DIRECT";

此示例將繞過cisco.com的所有子域，避免重定向SWA
if (dnsDomainIs(host, ".cisco.com")) return "DIRECT";

附註：由於PAC檔案不是思科產品，提供該資訊是出於您的方便考慮。如需更多幫助，請與軟體供應商聯絡。

瀏覽器配置(Microsoft Edge、Internet Explorer、Google Chrome)

步驟1.在「開始」選單中，鍵入Internet Options，然後按Enter鍵。

步驟2.導覽至Connections索引標籤，然後按一下LAN Settings。

步驟3.按一下Advanced。

步驟4.在Exceptions部分定義所需的URL。

影象 — 導航到Lan設定

影象 — 定義例外

瀏覽器配置(Mozilla Firefox)

步驟1.在右上角，按一下三欄選單並選擇「設定」。

步驟2.在搜尋欄中輸入proxy。

步驟3.在「無代理對象」部分中定義所需的URL。

影象 — 在Fire Fox中定義例外

瀏覽器配置(Apple Safari)

步驟1.在左上角，點選Apple圖示並選擇System Settings。

步驟2.從左側面板導覽至Network，然後選擇用於訪問Internet的網路介面。

步驟3.按一下Details。

步驟4.從左側面板中選擇Proxies。

步驟5.在「Bypass Proxy Settings」部分定義所需的URL。

影象 — 在Fire Fox中定義例外

組策略配置

您可以定義例外清單，具體取決於您如何配置組策略來推送代理設定。

在透明部署中繞過流量

您可以使用WCCP路由器或SWA旁路設定繞過透明部署中的流量。SWA旁路在第3層起作用，將流量路由到預設網關並完全繞過裝置，從而阻止處理和建立單獨的會話。

映像 — 繞過透明部署中的流量

繞過流量透明代理部署

繞過流量到達SWA的步驟：

SWA旁路設定

步驟1.在GUI上選擇Web Security Manager。

步驟2.選擇Bypass Settings。

步驟3.按一下Edit Proxy Bypass Settings。

步驟4.您可以輸入URL、IP地址或向清單中新增自定義URL類別。

步驟5.提交並提交更改。

影象 — 配置旁路設定

提示：使用此設定繞過的流量不會記錄在Accesslogs中，可以在Bypass_Logs中檢視。

重定向來自WCCP/PBR路由器的流量

您可以在WCCP或基於策略的路由器(PBR)中配置源或目標IP地址，以便不將某些流量重定向到SWA。

配置SWA中的直通和允許流量

如果流量進入SWA，並且為了出於隱私顧慮減少SWA上的負載，您不希望SWA檢查某些URL的流量，請使用以下步驟。

步驟

步驟

步驟1.為URL建立自定義URL類別。

1.1.在GUI中，選擇Web Security Manager，然後按一下Custom and External URL Categories。

1.2.單擊Add Category以新增自定義URL類別。

1.3.分配唯一的類別名稱。

1.4.(可選)新增說明。

1.5.從清單順序中，選擇位於頂部的第一個類別。

1.6.從Category Type下拉選單中，選擇Local Custom Category。

1.7.在「站點」部分新增所需的URL。

1.8.提交。

影象 — 建立自定義URL類別

步驟2.建立標識配置檔案以免除對流量進行身份驗證。

2.1.在GUI中，選擇Web Security Manager，然後按一下Identification Profiles。

2.2.單擊Add Profile以新增配置檔案。

2.3.使用Enable Identification Profile覈取方塊可啟用此配置檔案，或快速禁用此配置檔案而不將其刪除。

2.4.分配唯一的配置檔案名稱。

2.5.(可選)新增說明。

2.6.從「Insert Above」下拉選單中，選擇此配置檔案在表中的顯示位置。

2.7.在User Identification Method部分，選擇Exempt from authentication/identication。

2.8.在Define Members by Subnet中，將此欄位留空以包含所有客戶端IP地址，除非您想要傳遞特定IP地址的流量。

2.9.在Advanced部分，選擇Custom URL Categories。

影象 — 新增標識配置檔案

2.10. 新增在步驟1中建立的自定義URL類別。

2.11.單擊完成。

2.12.提交。

步驟3.建立解密策略以傳遞流量。

3.1.在GUI中，選擇Web Security Manager，然後按一下Decryption Policy。

3.2.單擊Add Policy以新增解密策略。

3.3.使用Enable Policy覈取方塊啟用此策略。

3.4.分配唯一的策略名稱。

3.5.(可選)新增說明。

3.6.從Insert Above Policy下拉列表中，選擇第一個策略。

3.7.從Identification Profiles and Users中，選擇您在步驟2中建立的Identification Profile。

3.8.提交。

影象 — 建立解密策略

3.9.在「解密策略」頁中，在「URL過濾」下，點選與此新解密策略關聯的連結。

影象 — 選擇URL過濾

3.10.選擇Pass Through作為在步驟1中建立的URL類別的操作。

影象 — 設定要通過的操作

3.11.提交。

步驟4.建立允許Microsoft Updates流量的訪問策略。

4.1.在GUI中,選擇Web Security Manager，然後按一下Access Policy。

4.2.單擊Add Policy以新增訪問策略。

4.3.使用Enable Policy覈取方塊啟用此策略。

4.4.分配唯一的策略名稱。

4.5.(可選)新增說明。

4.6.從Insert Above Policy下拉列表中，選擇第一個Policy。

4.7.從Identification Profiles and Users中，選擇您在步驟2中建立的標識配置檔案。

4.8.提交。

映像 — 建立訪問策略

4.9.在Access Policies頁中，在URL Filtering下，點選與此新訪問策略關聯的連結。

影象 — 選擇URL過濾

4.10.選擇Allow作為為步驟1中建立的URL類別建立的自定義URL類別的操作。

影象 — 將操作設定為允許

4.11.提交。

4.12.提交更改。

相關資訊

- 繞過安全Web裝置中的Microsoft更新流量

- 繞過安全Web裝置中的身份驗證

- Cisco Secure Web Appliance - GD（常規部署）AsyncOS 15.0使用手冊 — 對終端使用者進行策略應用分類[Cisco Secure Web Appliance]

- 在Secure Web Appliance中配置自定義URL類別

- 如何免除Office 365流量在思科網路安全裝置(WSA)上的身份驗證和解密

- 使用安全Web裝置最佳做法
- 阻止安全Web裝置中的流量
- 阻止安全Web裝置中的上傳流量
- 在SWA中阻止執行檔下載