Entsperren von Office 365-Datenverkehr von der Authentifizierung und Entschlüsselung auf der Cisco Web Security Appliance (WSA)

Einführung

Dieser Artikel beschreibt den Prozess, mit dem Office 365-Datenverkehr von der Authentifizierung und Entschlüsselung auf der Web Security Appliance (WSA) ausgenommen wird.  Es gibt mehrere bekannte Kompatibilitätsprobleme mit Office 365 und Proxys, und die Ausnahme von Office 365-Datenverkehrsauthentifizierung und -entschlüsselung kann bei einigen dieser Probleme hilfreich sein. 

Hinweis: Dabei handelt es sich nicht um eine vollständige Umgehung vom Webproxy, und das Entschlüsseln von Datenverkehr verhindert, dass die WSA den von Office 365-Clients generierten verschlüsselten HTTPS-Datenverkehr überprüft.

Konfigurationsschritte

Überblick:

1.     Erstellen einer benutzerdefinierten URL-Kategorie mit dem externen Feed Office365
2.     Erstellen eines Identifikationsprofils für den Office 365-Datenverkehr
3.     Entziehen des Office 365-Datenverkehrs von der Entschlüsselungsrichtlinie

Hinweis: Dieser Prozess erfordert die dynamische Aktualisierung des externen Office 365-JSON-Feeds, der alle mit Office 365 verknüpften URLs/IP-Adressen enthält. 

Hinweis: Unterstützung für diesen Feed ist ab AsyncOS Version 10.5.3 und ab Version 11.5 vorhanden.

1. Erstellen einer benutzerdefinierten URL-Kategorie mit dem externen Office365-Feed

• Navigieren Sie zu Websicherheits-Manager > Benutzerdefinierte und externe URL-Kategorien.
• Klicken Sie auf "Kategorie hinzufügen".
• Weisen Sie der Kategorie einen Namen zu, wählen Sie den Kategorietyp als "Externe Live-Feed-Kategorie" aus, und wählen Sie "Office 365-Webdienst".
• Klicken Sie auf "Start Test", wenn Sie die Fähigkeit der WSA testen möchten, den Office 365 JavaScript Object Notation (JSON)-Feed herunterzuladen.
• Setzen Sie unten die Option "Auto Update the Feed" (Automatische Aktualisierung des Feeds) auf "Stündlich" mit einem Intervall von 00:05 (alle 5 Minuten).
• Klicken Sie auf die Schaltfläche "Senden".

2. Erstellen eines Identifizierungsprofils für den Office 365-Datenverkehr

• Navigieren Sie zu Web Security Manager > Identifikationsprofile.
• Klicken Sie auf "Identifikationsprofil hinzufügen".
• Weisen Sie einen Namen zu, legen Sie "Identifikation und Authentifizierung" auf "Von Authentifizierung/Identifikation ausnehmen" fest.
• Klicken Sie auf die Schaltfläche "Erweitert", und klicken Sie auf den Link neben "URL-Kategorien".
• Suchen Sie die Kategorie, die Sie im vorherigen Schritt erstellt haben, und wählen Sie diese Kategorie aus. Scrollen Sie dann zum Ende der Seite, und klicken Sie auf die Schaltfläche "Fertig".

  Das Identifikationsprofil sollte nun wie folgt aussehen:

• Klicken Sie unten auf dem Bildschirm auf die Schaltfläche "Submit" (Senden).

3. Entziehen des Office 365-Datenverkehrs von der Entschlüsselungsrichtlinie

• Navigieren Sie zu Websicherheits-Manager > Entschlüsselungsrichtlinien.
• Klicken Sie auf "Policy hinzufügen".
• Weisen Sie einen Namen zu, und wählen Sie dann im Feld "Identifikationsprofile und Benutzer" die Option Ein oder mehrere Identifikationsprofile auswählen aus dem vorherigen Schritt Ihre Office 365-Identität aus.

• Klicken Sie auf die Schaltfläche "Senden".
• Klicken Sie auf den Link unter "URL-Filterung", der "Monitor: 1 Zoll
• Legen Sie die Kategorie Office 365 auf "Passthrough" fest, und klicken Sie auf die Schaltfläche "Submit" (Senden).

• Bestätigen Sie schließlich Ihre Änderungen, indem Sie auf die gelbe Schaltfläche "Änderungen bestätigen" oben rechts in der GUI klicken.

Referenz

Offiziellere Dokumentation von Cisco zum Aktivieren externer Office 365-Feeds und Wie wird Office 365 von der Entschlüsselungsrichtlinie in der WSA ausgenommen:

Aktivieren von externen Office 365-Feeds in AsyncOS für Cisco Web Security