Verbindungsprobleme mit WSA und GoToMeeting

Einleitung

In diesem Dokument wird ein Problem beschrieben, bei dem Citrix GoToMeeting keine Verbindung über die Cisco Web Security Appliance (WSA) herstellt.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco WSA
• Citrix GoToMeeting

Hinweis: In diesem Dokument wird davon ausgegangen, dass die Cisco WSA im transparenten Modus bereitgestellt wird.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf folgenden Hardware- und Software-Versionen:

• Cisco WSA Versionen 7.x und 8.x 
• Citrix GoToMeeting Version 5 und höher

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Hinweis: Dieses Dokument bezieht sich auf Software, die nicht von Cisco gewartet oder unterstützt wird. Die Informationen werden Ihnen gerne zur Verfügung gestellt. Wenden Sie sich für weitere Unterstützung an den Softwareanbieter.

Problem

Wenn die Cisco WSA in einer transparenten Proxybereitstellung verwendet wird, stellt Citrix GoToMeeting keine Verbindung über die WSA her. Wenn Sie GoToMeeting für die HTTPS-Passthrough-Aktion in den Entschlüsselungsrichtlinien konfigurieren, hat dies keine Auswirkungen.

Wie im Whitepaper von Citrix beschrieben, führt GoToMeeting folgende Aktionen aus, um eine Verbindung herzustellen:

Wenn die GoToMeeting-Endpunktsoftware gestartet wird, versucht sie, den GoToMeeting-Dienstbroker über das Endpoint Gateway (EGW) zu kontaktieren, indem sie eine oder mehrere ausgehende SSL-geschützte TCP-Verbindungen auf den Ports 8200, 443 und/oder 80 initiiert. Unabhängig davon, welche Verbindung zuerst antwortet, wird sie verwendet, und die anderen werden getrennt.

In einer expliziten Proxyumgebung stellt GoToMeeting eine Verbindung mit einer HTTP CONNECT-Anforderung her, und die WSA tunnelt die Daten zwischen dem Client und dem Server. Mit diesem Verbindungstyp sind keine Probleme verbunden. Im transparenten Modus kann der GoToMeeting-Client jedoch keine Authentifizierung durchführen.

Lösung

Cisco empfiehlt, den Authentifizierungsprozess mit einer Client-IP-Adressen-basierten (Subnetz-) Identität zu umgehen, um dieses Problem effektiv zu umgehen. Es ist jedoch wichtig zu beachten, dass GoToMeeting auch bei aktivierter Entschlüsselung funktionieren sollte, wenn die Authentifizierung deaktiviert ist.

In diesem Abschnitt wird beschrieben, wie der Authentifizierungsprozess für den GoToMeeting-Datenverkehr in der WSA umgangen wird. Führen Sie die folgenden Schritte aus, um die IP-Adressen des GoToMeeting-Servers in einer neuen benutzerdefinierten URL-Kategorieliste hinzuzufügen:

1. Navigieren Sie in der Webverwaltungs-GUI zu Websicherheitsdienste > Benutzerdefinierte URL-Kategorie, und klicken Sie auf Benutzerdefinierte Kategorie hinzufügen.
   
   
2. Fügen Sie der Liste Standorte die folgenden IP-Adressbereiche hinzu:
   
   
   • 216.115.208.0/20
   • 216.219.112.0/20
   • 66.151.158.0/24
   • 66.151.150.160/27
   • 66.151.115.128/26
   • 64.74.80.0/24
   • 202.173.24.0/21
   • 67.217.64.0/19
   • 78.108.112.0/20
   • 68.64.0.0/19
   • 206.183.100.0/22

Hinweis: Diese IP-Adressen können sich jederzeit ändern. Cisco empfiehlt, die aktuellen IP-Adressbereiche mithilfe der Citrix IP-Adressliste zu überprüfen.

Vorsicht: Die in diesem Dokument erwähnten Citrix-Links dienen lediglich zur Information. Cisco übernimmt keine Garantie für deren Richtigkeit oder Effektivität.