Sommario

Introduzione

Qual è la differenza tra la modalità proxy trasparente e quella forward?

Introduzione

In questo documento viene descritta la differenza tra la modalità trasparente e la modalità proxy su Cisco Web Security Appliance (WSA).

Qual è la differenza tra la modalità proxy trasparente e quella forward?

L'obiettivo di un proxy è quello di fungere da intermediario (proxy) tra i client HTTP e i server HTTP. In particolare, Web Security Appliance (WSA), in quanto proxy Web, dispone di due set di socket TCP per richiesta del client:

Client > WSA

WSA > Server di origine

Il modo in cui il proxy HTTP WSA ottiene la richiesta del client può essere definito in uno dei due modi seguenti: In modo trasparente o esplicito.

Ognuna di queste distribuzioni dispone di diverse opzioni di configurazione specifiche:

Implementazione

Metodo

Descrizione

Trasparente

Switch di livello 4 (PBR)

Uno switch di layer 4 viene usato per il reindirizzamento in base alla porta di destinazione 80

Trasparente

WCCP

Un dispositivo abilitato per WCCP v2 (in genere un router, uno switch, PIX o ASA) reindirizza la porta 80

Trasparente

Modalità Bridged

Doppia scheda NIC, virtualmente accoppiata. Il traffico passa da una NIC all'altra (non disponibile)

Esplicito

Browser configurato

Il browser client è configurato in modo esplicito per l'utilizzo di un proxy

Esplicito

file PAC configurato

Il browser client è configurato in modo esplicito per l'utilizzo di un file .PAC, che a sua volta fa riferimento al proxy

WSA può utilizzare tutte queste distribuzioni ad eccezione della modalità bridge. Questa funzionalità dovrebbe essere disponibile nel prossimo futuro.

Quando le richieste vengono reindirizzate al server WSA in modo trasparente, il server WSA deve fingere di essere il server OCS (source content server), poiché il client non è a conoscenza dell'esistenza di un proxy. Al contrario, se una richiesta è inviata esplicitamente al WSA, quest'ultimo risponde con le proprie informazioni sul PI.

Esistono alcune differenze tra le richieste HTTP client esplicite e le richieste HTTP client trasparenti:

- Una richiesta esplicita ha un indirizzo IP di destinazione del proxy configurato. Una richiesta trasparente ha un indirizzo IP di destinazione del server Web previsto (DNS risolto dal client).

- L'URI per una richiesta trasparente non contiene il protocollo con l'host:

Trasparente

GET / HTTP/1.1

Esplicito

GET http://www.google.com/ HTTP/1.1

Entrambi contengono un'intestazione host HTTP che specifica l'host DNS.

Configurazione WSA

WSA può essere configurato per "transparent" o "forward". Questo è un po' un inganno, in quanto si tratta in realtà della modalità "trasparente" o "esplicita", entrambe sono implementazioni proxy di inoltro. Il proxy inverso si trova nella stessa rete dei server HTTP e ha lo scopo di servire il contenuto per tali server HTTP.

L'unica differenza importante tra la modalità trasparente e quella di inoltro nel WSA è che in modalità trasparente il WSA risponde sia alle richieste HTTP trasparenti che a quelle esplicite. In modalità esplicita, invece, WSA ONLY risponde a richieste HTTP esplicite.

Il WSA invia sempre la sua richiesta a monte come richiesta di stile trasparente, poiché il WSA agisce come proprio client, A MENO che il WSA non sia configurato per utilizzare specificamente un proxy a monte esplicito.

Di seguito è riportata un'altra differenza tra autenticazione trasparente ed esplicita:

Trasparente

401 - viene inviato da WSA quando è richiesta l'autenticazione. Questo è anche ciò che invierebbe OCS.

Esplicito

407 - viene inviato dal WSA per comunicare al client che un proxy HTTP richiede l'autenticazione.