Introduction
Ce document décrit la différence entre le mode transparent et le mode proxy sur l'appareil de sécurité Web Cisco (WSA).
Quelle est la différence entre le mode transparent et le mode de transfert proxy ?
L'objectif d'un proxy est d'être l'intermédiaire (proxy) entre les clients HTTP et les serveurs HTTP. Cela signifie spécifiquement que l'appliance de sécurité Web (WSA), en tant que proxy Web, dispose de deux ensembles de sockets TCP par requête client :
Client > WSA
WSA > Serveur d'origine
La manière dont le proxy HTTP WSA obtient la requête du client peut être définie de deux manières : de manière transparente ou explicite.
Chacun de ces déploiements comporte plusieurs options de configuration spécifiques :
| Déploiement |
Méthode |
Description |
| Transparent |
Commutateur de couche 4 (PBR) |
Un commutateur de couche 4 est utilisé pour rediriger en fonction du port de destination 80 |
| Transparent |
WCCP |
Un périphérique compatible WCCP v2 (généralement un routeur, un commutateur, PIX ou ASA) redirige le port 80 |
| Transparent |
Mode ponté |
Deux cartes réseau, pratiquement jumelées. Trafic entrant sur une carte réseau et sortant sur l’autre (non disponible) |
| Explicite |
Navigateur configuré |
Le navigateur client est explicitement configuré pour utiliser un proxy |
| Explicite |
Fichier .PAC configuré |
Le navigateur client est explicitement configuré pour utiliser un fichier .PAC qui, à son tour, fait référence au proxy |
L’appareil de sécurité Web peut utiliser tous ces déploiements, sauf le mode ponté. Ce document devrait être disponible dans un proche avenir.
Lorsque les requêtes sont redirigées vers le WSA de manière transparente, le WSA doit faire semblant d'être l'OCS (serveur de contenu d'origine), puisque le client n'est pas conscient de l'existence d'un proxy. Au contraire, si une requête est explicitement envoyée à l'appareil de sécurité Web, l'appareil de sécurité Web répond avec ses propres informations IP.
Il existe quelques différences entre les requêtes HTTP client explicites et transparentes :
- Une requête explicite a une adresse IP de destination du proxy configuré. Une requête transparente a une adresse IP de destination du serveur Web prévu (DNS résolu par le client).
- L'URI d'une requête transparente ne contient pas le protocole avec l'hôte :
Les deux contiennent un en-tête d'hôte HTTP qui spécifie l'hôte DNS.
Configuration du WSA
Le WSA peut être configuré pour « transparent » ou « forward ». C'est un peu trompeur, car il s'agit en réalité d'un mode "transparent" ou "explicite", qui sont tous deux des déploiements de proxy de transfert. Le proxy inverse est l'emplacement sur lequel le proxy est destiné à se trouver sur le même réseau que les serveurs HTTP et son objectif est de servir du contenu pour ces serveurs HTTP.
La seule différence majeure entre le mode transparent et le mode forward sur le WSA est qu'en mode transparent, le WSA répond à la fois aux requêtes HTTP transparentes et explicites. Alors qu'en mode explicite, le WSA NE répond QU'aux requêtes HTTP explicites.
Le WSA envoie toujours sa requête en amont comme une requête de style transparente, puisque le WSA agit comme son propre client, SAUF SI le WSA est configuré pour utiliser spécifiquement un proxy en amont explicite.
Voici une autre différence entre l'authentification transparente et l'authentification explicite :
| Transparent |
401 - est envoyé à partir du WSA lorsque l'authentification est requise. C'est également ce que le système OCS enverrait. |
| Explicite |
407 - est envoyé à partir de l'appareil de sécurité Web pour indiquer au client qu'un proxy HTTP nécessite une authentification. |
Commentaires