Einleitung
In diesem Dokument wird der Unterschied zwischen dem transparenten und dem Proxy-Modus auf der Cisco Web Security Appliance (WSA) beschrieben.
Worin besteht der Unterschied zwischen dem transparenten und dem Forward-Proxy-Modus?
Das Ziel eines Proxys ist es, der Mittelsmann (Proxy) zwischen HTTP-Clients und HTTP-Servern zu sein. Dies bedeutet insbesondere, dass die Web Security Appliance (WSA) als Webproxy über zwei Sätze von TCP-Sockets pro Clientanforderung verfügt:
Client > WSA
WSA > Ursprungsserver
Es gibt zwei Möglichkeiten, wie der WSA-HTTP-Proxy die Anforderung des Clients erhält: Transparent oder Explicit.
Für jede dieser Bereitstellungen gibt es mehrere spezifische Konfigurationsoptionen:
| Bereitstellung |
Methode |
Beschreibung |
| Transparent |
Layer-4-Switch |
Ein Layer-4-Switch wird je nach Zielport 80 umgeleitet. |
| Transparent |
WCCP |
Ein WCCP v2-fähiges Gerät (in der Regel ein Router, Switch, PIX oder ASA) leitet Port 80 um |
| Transparent |
Überbrückungsmodus |
Zwei NICs, virtuell gepaart. Datenverkehr fließt über eine Netzwerkkarte und über die andere hinaus (nicht verfügbar) |
| Explizit |
Browser konfiguriert |
Der Client-Browser ist explizit für die Verwendung eines Proxys konfiguriert. |
| Explizit |
.PAC-Datei konfiguriert |
Der Client-Browser ist explizit so konfiguriert, dass er eine .PAC-Datei verwendet, die wiederum auf den Proxy verweist. |
Die WSA kann alle diese Bereitstellungen mit Ausnahme des Bridge-Modus verwenden. Dies dürfte in naher Zukunft der Fall sein.
Wenn Anfragen transparent an die WSA umgeleitet werden, muss die WSA vorgeben, der OCS (Original Content Server) zu sein, da der Client nicht weiß, dass ein Proxy vorhanden ist. Wird dagegen eine Anfrage explizit an die WSA gesendet, antwortet die WSA mit ihren eigenen IP-Informationen.
Explizite und transparente HTTP-Anforderungen von Clients unterscheiden sich in einigen Punkten:
- Eine explizite Anforderung hat eine Ziel-IP-Adresse des konfigurierten Proxys. Eine transparente Anfrage hat eine Ziel-IP-Adresse des beabsichtigten Webservers (DNS wird vom Client aufgelöst).
- Der URI für eine transparente Anforderung enthält nicht das Protokoll mit dem Host:
Beide enthalten einen HTTP-Host-Header, der den DNS-Host angibt.
WSA-Konfiguration
Die WSA kann für "transparent" oder "weitergeleitet" konfiguriert werden. Dies ist etwas irreführend, da es sich um einen wirklich "transparenten" oder "expliziten" Modus handelt, bei denen es sich beide um Weiterleitungsproxybereitstellungen handelt. Der Reverse Proxy ist der Ort, an dem sich der Proxy im selben Netzwerk wie die HTTP-Server befinden soll und dessen Zweck darin besteht, Inhalte für diese HTTP-Server bereitzustellen.
Der einzige große Unterschied zwischen dem transparenten und dem Weiterleitungsmodus auf der WSA besteht darin, dass die WSA im transparenten Modus sowohl auf transparente als auch auf explizite HTTP-Anforderungen reagiert. Während die WSA explizit NUR auf explizite HTTP-Anfragen reagiert.
Die WSA sendet ihre Upstream-Anforderung immer im transparenten Stil, da die WSA als eigener Client fungiert, ES SEI DENN, die WSA ist so konfiguriert, dass sie explizit einen Upstream-Proxy verwendet.
Hier noch ein Unterschied zwischen transparenter und expliziter Authentifizierung:
| Transparent |
401 - wird von der WSA gesendet, wenn eine Authentifizierung erforderlich ist. Dies ist auch, was das OCS senden würde. |
| Explizit |
407 - wird von der WSA gesendet, um dem Client mitzuteilen, dass ein HTTP-Proxy eine Authentifizierung erfordert. |
Feedback