Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
AUF DIESER SEITE
 

Expliziter Web-Proxy

Expliziter Web-Proxy

Explicit Proxy bietet eine Methode zur Steuerung des Datenverkehrs von einem beliebigen Client-Gerät zur Firewall der SRX-Serie. Die Firewall der SRX-Serie akzeptiert Verbindungen von Clients, löst DNS auf, leitet Verbindungen an die angegebenen Zielserver weiter und erhält dann die Antwort vom Server im Namen des Clients. In einer solchen Konfiguration fungiert die Firewall als Vermittler zwischen Clients und Servern. Hier läuft die gesamte Kommunikation zwischen Client und Server über die Firewall, die als Proxy-Server konfiguriert ist.

Sie können Ihre Firewall-Schnittstelle der SRX-Serie als expliziten Web-Proxy für die Anwendung von Proxy für IPv4-, HTTP- und HTTPS-Datenverkehr konfigurieren. Explizite Webproxy-Unterstützung ist für IPv6-Datenverkehr nicht verfügbar.

Um Explicit Proxy bereitzustellen, konfigurieren Sie die Browsereinstellungen auf dem Client-Gerät manuell, um Anforderungen an die SRX SeriesFirewall zu senden. In den meisten Standardbrowsern können Sie die Proxy-Adresse und den Port angeben.

Firewalls der SRX-Serie unterstützen eine explizite Proxy-Konfiguration zum Abrufen von Benutzer- oder Geräteidentitätsinformationen von Active Directory, Identity-Management-Servern, LDAP-Servern und physischen Firewalls der SRX-Serie.

Wie funktioniert Explicit Proxy?

In diesem Beispiel initiiert ein Client eine HTTP-Verbindung, um www.example.com zu erreichen. Das Client-Gerät verbindet sich zunächst mit der Firewall der SRX-Serie, die als expliziter Proxy fungiert (172.16.10.254 und Port 31280).

Abbildung 1: Expliziter Web-Proxy Network diagram showing a Juniper SRX device with explicit proxy. Internet connects via egress interface ge-0/0/0.0 at IP 192.0.2.0. Internal network connects via ingress interface ge-0/0/1.0 at IP 172.16.10.254. Proxy listens on port 31280 for user traffic from device labeled jn-001313.

Das Client-Netzwerk stellt eine Verbindung zur Firewall der SRX-Serie auf der ge-0/0/1-Schnittstelle mit der IP-Adresse 172.16.10.254 her. Die Firewall der SRX-Serie stellt über die Schnittstelle ge-0/0/0 mit der IP-Adresse 192.0.2.0 eine Verbindung zum Internet her.

Voraussetzung

  • Stellen Sie sicher, dass der Client die Proxyeinstellungen im Clientbrowser konfiguriert.

Für jede Sitzung, die vom Client-Browser initiiert wird, erstellt die Firewall der SRX-Serie zwei Sitzungen:

S1: Sitzung, die vom Client-Browser zum expliziten Web-Proxy stammt

S2: Sitzung, die vom expliziten Web-Proxy zum tatsächlichen Zielserver ausgeht.

Tabelle 1 enthält Details zu den expliziten Webproxysitzungen.

Tabelle 1: Details zu expliziten Proxysitzungen
Sitzungstyp : Quell-IP/Port , Ziel-IP/ Portrichtlinienkommentare
Firewall vom Client zur SRX-Serie (S1) Client-IP / dynamischer Portbereich Firewall-Schnittstelle der SRX-Serie IP (172.16.10.254) / fester Port (31280) Sicherheitsrichtlinie/einheitliche Richtlinie (explizit auf der Firewall der SRX-Serie konfiguriert) Der Client-Datenverkehr wird direkt zur Firewall-Schnittstelle der SRX-Serie geleitet, wo das explizite Proxy-Profil konfiguriert ist.
Firewall der SRX-Serie zum tatsächlichen Zielserver (S2) SRX-Serie FirewallAusgangsschnittstelle IP (192.0.2.0)/ dynamischer Portbereich Endserver, wie durch DNS oder in einer expliziten Proxyanforderung aufgelöst Implizit von S1 geerbt Die Firewall der SRX-Serie stellt die Verbindung mit dem tatsächlichen Server her.

Nützt

  • Explicit Web Proxy sichert das Netzwerk, indem er den ein- und ausgehenden Datenverkehr steuert und filtert.
  • Der explizite Web-Proxy führt die DNS-Auflösung im Namen des Clients durch.

Schritte zum Konfigurieren des expliziten Proxys auf der Firewall der SRX-Serie

Um den expliziten Proxy für Verbindungen zu Ihrem Netzwerk zu verwalten, müssen Sie:

  1. Konfigurieren Sie das explizite Proxyprofil.
  2. Konfigurieren Sie einen expliziten Proxy auf einer Schnittstelle. Diese Schnittstelle muss mit dem Client-Netzwerk verbunden sein. Die Client-Browser verwenden diese IP-Adresse, um Anfragen an das Gerät der SRX-Serie weiterzuleiten. Sie können mehrere explizite Proxyprofile konfigurieren und an eine bestimmte IP-Adresse in der Benutzeroberfläche anhängen. Sie müssen jedoch sicherstellen, dass es keine überlappenden Ports zwischen den expliziten Proxyprofilen geben darf.
  3. Verwenden Sie Sicherheitsrichtlinien, um den expliziten Web-Proxy-Datenverkehr zu steuern.
  4. Konfigurieren Sie die Standardrichtlinie für den expliziten Proxy.

Konfigurieren eines expliziten Proxys

  1. Konfigurieren Sie ein explizites Webproxyprofil exp-proxy-profile , um die Schnittstelle ge-0/0/0zu erreichen.

    Dies default-egress-ip ist die IP-Adresse der Ausgangsquelle, die der ausgehenden Schnittstelle zugeordnet ist.

  2. Konfigurieren Sie die Schnittstelle, die zum Aktivieren des expliziten Webproxys verwendet wird.

Konfigurieren der Sicherheitsrichtlinie

Sie müssen Sicherheitsrichtlinien konfigurieren und durchsetzen, um den Datenverkehr für den expliziten Proxy zu verwalten. Für das explizite Proxyprofil ist eine Reihe eindeutiger Sicherheitsrichtlinien oder einheitlicher Richtlinien erforderlich. Die Firewall bestimmt anhand der Kombination aus Eingangsschnittstelle und Port, welches Profil für eine Richtliniensuche genutzt werden soll. Sobald die Firewall das explizite Proxyprofil für einen Datenfluss identifiziert hat, führt sie eine Richtliniensuche durch.

Die Firewall der SRX-Serie verwendet die folgende Reihenfolge für die Richtliniensuche:

  • Quell-IP-Adresse, Quellport, Protokoll und Quellidentität
  • DNS-basierte Ziel-IP-Auflösung
  • Erkennung von URL-Kategorien
  • Dynamischer Layer 7-Anwendungsabgleich
  • DNS-basierte, zielaufgelöste IP-Reputation
  • Hartcodierte Ziel-IP-Adresse oder Reputation der hartcodierten Ziel-IP-Adresse

Sie können die Regelbasis des expliziten Proxyprofils mit der folgenden Anweisung konfigurieren:

Sie können feststellen, dass diese Richtlinie, ähnlich wie die globalen Richtlinien, keine Sicherheitszonen benötigt.

Um eine Sicherheitsrichtlinie mit einem expliziten Proxyprofil anzufügen, muss der in der Richtlinienkonfiguration angegebene Profilname mit dem Namen des expliziten Proxyprofils übereinstimmen, das unter web-proxy-dienste ()set services web-proxy explicit-proxy profile <profile-name> konfiguriert ist.

  • Definieren Sie eine Sicherheitsrichtlinie, um den expliziten Web-Proxy-Datenverkehr zu steuern.

Standardrichtlinie für expliziten Proxy

Falls der Datenverkehr mit einem der expliziten Proxyprofile, aber keiner der Richtlinien unter dem expliziten Proxyprofil übereinstimmt, wendet die Firewall die Standardrichtlinienaktion an. Sie können die Standardrichtlinie im Profil für explizite Proxys konfigurieren.

Falls für einen bestimmten Datenverkehr kein passendes explizites Proxyprofil gefunden wird, führt die Firewall die Richtliniensuche basierend auf den konfigurierten Zonen- und globalen Richtlinien durch.

Sie können nur eine Standardrichtlinie pro explizitem Proxyprofil konfigurieren.

Begrenzungen

Für Richtlinien für explizite Proxyprofile unterstützt die Übereinstimmungsbedingung Folgendes nicht:

  • Quell- oder Zielzone
  • Quelle und Ziel Layer 3-VPN VRF-Gruppe

Die Anwendungsdienste nach dem Spiel unterstützen Folgendes nicht:

  • Sicherer Web-Proxy
  • GPRS-Tunneling-Protokoll
  • GPRS Stream Control Transport Protocol (SCTP)
  • Einheitliche Zugriffssteuerung, Durchsetzung von Richtlinien (UAC)
  • WAN-Beschleunigung (Legacy-WX)
  • Legacy-Intrusion Detection and Prevention.
  • APBR

Siehe auch

Anwendungsfallszenarien

Konfigurieren des SSL-Proxys

Secure Sockets Layer (SSL)-Proxy bietet eine Deep Packet Inspection und Entschlüsselung des ausgehenden SSL- oder TLS-Datenverkehrs (Transportschicht Security – Security) zur Sicherheitsüberprüfung und Richtliniendurchsetzung für den empfangenen Webdatenverkehr.

Stellen Sie sicher, dass SSL-Proxy zum Entschlüsseln von Sitzungen aktiviert ist, damit die erweiterten Sicherheitsdienste zur Überprüfung, Erkennung und Risikominderung angewendet werden. Weitere Informationen finden Sie unter Übersicht über die SSL-Proxykonfiguration.

  • Wenden Sie das SSL-Proxyprofil SSL_FP auf das explizite Webproxyprofil an, exp-proxy-profile um den Datenverkehr zuzulassen.

Konfigurieren der Inhaltssicherheitsfilterung

Content Security bietet eine umfassende Sicherheitslösung, die mehrere Funktionen wie Antivirus, Anti-Spam, Filterung von Inhalten und Webfilterung in den empfangenen Webdatenverkehr integriert.

Sie können erweiterte Sicherheitsdienstprofile für die Funktionen IDP, ATP, AppQos usw. auf den Proxydatenverkehr anwenden. Weitere Informationen finden Sie unter Inhaltssicherheit.

  • Geben Sie die Inhaltssicherheitsrichtlinie an, die auf den Datenverkehr angewendet werden soll, der den in der Sicherheitsrichtlinie angegebenen Bedingungen entspricht.

Konfigurieren der identitätsbewussten Firewall

Identity Aware Firewall setzt Netzwerkzugriffsrichtlinien auf der Grundlage individueller Benutzeridentitäten durch oder erlaubt oder blockiert Datenverkehr gemäß vordefinierten Regeln, die jedem Benutzer im empfangenen Webdatenverkehr zugeordnet sind.

Sie können Identitätsquellen wie Active Directory, JIMS, UAC, Aruba Clearpass usw. verwenden, um Benutzer zu authentifizieren. Weitere Informationen zur Identitätsquelle finden Sie unter Identitätsquellen.

  • Konfigurieren Sie eine Sicherheitsrichtlinie, um Parameter zu identifizieren, die mit der source-identity Spezifikation übereinstimmen.

Anmerkung:

Alle Anwendungsfallfunktionen sind unabhängig voneinander mit mehreren Richtlinien aktiviert oder können in derselben Richtlinie kombiniert werden, um die Funktionen zur Bedrohungsprüfung zu erweitern.