Introducción
Este documento describe la diferencia entre el modo transparente y el modo proxy en el dispositivo de seguridad Cisco Web Security Appliance (WSA).
¿Cuál es la diferencia entre el modo de proxy transparente y el modo de proxy de reenvío?
El objetivo de un proxy es ser el intermediario (proxy) entre clientes HTTP y servidores HTTP. Esto significa específicamente que Web Security Appliance (WSA), como proxy web, tiene dos conjuntos de sockets TCP por solicitud de cliente:
Cliente > WSA
WSA > Servidor de origen
La forma en que el proxy HTTP de WSA obtiene la solicitud del cliente se puede definir de una de estas dos maneras: Transparentemente o Explícitamente.
Cada una de estas implementaciones tiene varias opciones de configuración específicas:
| Implementación |
Método |
Descripción |
| Transparente |
Switch de capa 4 (PBR) |
Se utiliza un switch de capa 4 para la redirección basada en el puerto de destino 80 |
| Transparente |
WCCP |
Un dispositivo habilitado para WCCP v2 (normalmente un router, switch, PIX o ASA) redirige el puerto 80 |
| Transparente |
modo de puente |
Tarjetas NIC duales, prácticamente emparejadas. El tráfico entra en una NIC y sale de la otra (no disponible) |
| Explícito |
Explorador configurado |
El explorador del cliente está configurado explícitamente para utilizar un proxy |
| Explícito |
Archivo .PAC configurado |
El explorador del cliente está configurado explícitamente para utilizar un archivo .PAC, que, a su vez, hace referencia al proxy |
El WSA puede utilizar todas estas implementaciones, excepto el modo puente. Se espera que esté disponible en un futuro próximo.
Cuando las solicitudes se redirigen a WSA de forma transparente, WSA debe fingir ser el OCS (servidor de contenido de origen), ya que el cliente no es consciente de la existencia de un proxy. Por el contrario, si se envía una solicitud explícitamente al WSA, éste responde con su propia información de IP.
Existen algunas diferencias entre las solicitudes HTTP de cliente explícitas y transparentes:
- Una solicitud explícita tiene una dirección IP de destino del proxy configurado. Una solicitud transparente tiene una dirección IP de destino del servidor web deseado (DNS resuelto por el cliente).
- El URI de una solicitud transparente no contiene el protocolo con el host:
Ambos contienen un encabezado Host HTTP que especifica el host DNS.
Configuración de WSA
El WSA se puede configurar para "transparente" o "reenvío". Esto es un poco engañoso, ya que se trata de un modo realmente "transparente" o "explícito", ambos de los cuales son implementaciones de proxy de reenvío. El proxy inverso es donde el proxy está destinado a estar en la misma red que los servidores HTTP y su propósito es servir contenido para estos servidores HTTP.
La única diferencia importante entre el modo transparente y el modo de reenvío en el WSA es que en el modo transparente, el WSA responde a las solicitudes HTTP transparentes y explícitas. Mientras que en modo explícito, WSA ONLY responde a las solicitudes HTTP explícitas.
El WSA siempre envía su solicitud ascendente como una solicitud de estilo transparente, ya que el WSA actúa como su propio cliente, A MENOS que el WSA esté configurado para utilizar específicamente un proxy upstream explícito.
Aquí hay otra diferencia entre la autenticación transparente y la explícita:
| Transparente |
401: se envía desde el WSA cuando se requiere autenticación. Esto es también lo que OCS enviaría. |
| Explícito |
407: se envía desde el WSA para indicar al cliente que un proxy HTTP requiere autenticación. |
Comentarios