Vous pouvez modifier les paramètres de transport uniquement avant d’enregistrer l’appliance auprès du CSSM.

Remarque

Vous pouvez modifier les paramètres de transport uniquement lorsque la fonction de licence Smart est activée. Si vous avez déjà enregistré votre appliance, vous devez annuler l’enregistrement de l’appliance pour modifier les paramètres de transport. Après avoir modifié les paramètres de transport, vous devez enregistrer à nouveau l’appliance.

Consultez Enregistrement de l’appliance dans Cisco Smart Software Manager pour savoir comment modifier les paramètres de transport.

Vous recevrez des notifications dans les scénarios suivants :

• Licence logicielle Smart activée avec succès

• Échec de l’activation de l’octroi de licences logicielles Smart

• Début de la période d’évaluation

• Expiration de la période d’évaluation (à des intervalles réguliers pendant la période d’évaluation et à l’expiration)

• Enregistrement réussi

• Échec de l’enregistrement

• Autorisation réussie

• Échec de l’autorisation

• Désenregistrement réussi

• Échec du désenregistrement

• Certificat d’ID renouvelé avec succès

• Échec du renouvellement du certificat d’ID

• Expiration de l’autorisation

• Expiration du certificat d’ID

• Expiration du délai de grâce de non-conformité (à des intervalles réguliers pendant le délai de grâce et à l’expiration).

• Première instance de l’expiration d’une fonctionnalité

• license_smart

• show_license

• cloudserviceconfig

• Lorsque l’octroi de licences logicielles Smart est activé et enregistré, le service Cisco Cloud est activé et enregistré automatiquement.

• Si le certificat des services Cisco Cloud a expiré, vous pouvez maintenant télécharger un nouveau certificat à partir du portail des services Cisco Talos Intelligence à l’aide de la sous-commande cloudserviceconfig > fetchcertificate de l’interface de ligne de commande.

• Vous ne pouvez pas effectuer l’enregistrement automatique auprès du service Cisco Cloud lorsque la licence Smart est en mode d’évaluation.

Pour modifier la phrase secrète du compte actuellement connecté, sélectionnez Options > Change Passphrase (Options > Modifier la phrase secrète) dans le coin supérieur droit de la fenêtre.

Pour les autres comptes, modifiez le compte et la phrase secrète dans la page Local User Settings (Paramètres de l’utilisateur local).

Vous pouvez définir des restrictions de compte d’utilisateur et de phrase secrète pour appliquer les politiques de phrase secrète de l’entreprise. Les restrictions liées au compte d’utilisateur et à la phrase secrète s’appliquent aux utilisateurs locaux définis sur l’appliance Cisco. Vous pouvez configurer les paramètres suivants :

• Verrouillage du compte d’utilisateur.Vous pouvez définir le nombre de tentatives de connexion infructueuses entraînant le blocage de l’accès du compte à l’utilisateur. Vous pouvez définir le nombre de tentatives de connexion de l’utilisateur entre 1 et 60. La valeur par défaut est égale à 5.

• Règles relatives à la durée de vie des phrases secrètes.Vous pouvez définir la durée de vie d’une phrase secrète avant que l’utilisateur ne soit tenu de la modifier après s’être connecté.

• Règles relatives aux phrases secrètes.Vous pouvez définir les types de phrase secrète que les utilisateurs peuvent choisir, par exemple les caractères facultatifs ou obligatoires.

  Remarque

  À partir de la version 14.0 d’AsyncOS, les règles de phrase secrète sont activées par défaut, à l’exception du refus de 3 caractères répétitifs ou séquences supérieurs dans les phrases secrètes et de la liste de mots à interdire dans les règles de phrase secrète.

• Force des phrases secrètes. Vous pouvez afficher un indicateur de force de phrase secrète lorsqu’un utilisateur administrateur saisit une nouvelle phrase secrète.

  Pour en savoir plus, consultez Définition des exigences de phrase de passe pour les utilisateurs administratifs.

Vous définissez les restrictions de compte d’utilisateur et de phrase secrète sur la page System Administration > Users (Administration système > Utilisateurs) dans la section Local User Account and Passphse Settings (Paramètres de compte d’utilisateur local et de phrase secrète).

Lorsque l’authentification extérieure est activée et qu’un utilisateur se connecte à Secure Web Appliance, l’appliance :

1. Détermine si l’utilisateur est le compte « admin » défini par le système.

2. Sinon, vérifie le premier serveur externe configuré pour déterminer si l’utilisateur y est défini.

3. Si l’appliance ne peut pas se connecter au premier serveur externe, elle vérifie le serveur externe suivant dans la liste.

4. Si l’appliance ne peut pas se connecter à un serveur externe, elle tente d’authentifier l’utilisateur en tant qu’utilisateur local, défini sur la Secure Web Appliance.

5. Si l’utilisateur n’existe sur aucun serveur externe ou sur l’appliance, ou si l’utilisateur saisit la mauvaise phrase secrète, l’accès à l’appliance est refusé.

AsyncOS envoie les types d’alertes suivants :

• System (Système)

• Matériel

• Programme de mise à jour

• Proxy Web

• Protection contre les programmes malveillants

• AMP

• L4 Traffic Monitor (Supervision du trafic de la couche 4)

• Catégories d’URL externes

• Expiration de la politique

Des alertes peuvent être envoyées pour les gravités suivantes :

• Critical (Critique) : nécessite une attention immédiate.
• Warning (Avertissement) : problème ou erreur nécessitant une supervision supplémentaire et une attention potentiellement immédiate.
• Information : informations générées dans le cadre du fonctionnement de routine de cet appareil.

Le tableau suivant contient une liste des différentes alertes matérielles qui peuvent être générées par AsyncOS, y compris une description de l’alerte et de sa gravité :

Le tableau suivant contient une liste des différentes alertes du système qui peuvent être générées par AsyncOS, y compris une description de l’alerte et de sa gravité :

Note	Les alertes du système comprennent les alertes de clés de fonctionnalité, les alertes de journalisation et les alertes de rapports. Vous recevrez ces alertes après les avoir configurées dans les alertes du système.

Le tableau suivant contient une liste des différentes alertes du programme de mise à jour qui peuvent être générées par AsyncOS, notamment la description de l’alerte et la gravité de l’alerte :

Pour plus d’informations sur les alertes relatives à Cisco Secure Endpoint, consultez Veiller à recevoir des alertes sur les problèmes Cisco Secure Endpoint.

Le tableau suivant contient une liste des différentes alertes AMP qui peuvent être générées par AsyncOS, y compris la description des alertes et leur gravité :

Le tableau suivant contient la liste des différentes alertes de proxy Web qui peuvent être générées par AsyncOS, y compris la description de l’alerte et de sa gravité :

Le tableau suivant contient une liste des diverses alertes de catégories d’URL externes qui peuvent être générées par AsyncOS, notamment une description de l’alerte et la gravité de l’alerte :

Le tableau suivant contient une liste des différentes alertes de la supervision du trafic de la couche 4 qui peuvent être générées par AsyncOS, notamment une description de l’alerte et de la gravité de l’alerte :

Le tableau suivant contient une liste des diverses alertes d’expiration de politique qui peuvent être générées par AsyncOS, y compris une description de l’alerte et de sa gravité :

Secure Web Appliance ne peut pas générer de demandes de signature de certificat (CSR) pour les certificats téléchargés sur l’appliance. Par conséquent, pour qu’un certificat soit créé pour l’appliance, vous devez émettre la demande de signature à partir d’un autre système. Enregistrez la clé au format PEM à partir de ce système, car vous devrez l’installer sur l’appliance plus tard.

Vous pouvez utiliser n’importe quel ordinateur UNIX sur lequel une version récente d’OpenSSL est installée. Veillez à indiquer le nom d’hôte de l’appliance dans la demande de signature de certificat (CSR). Suivez les directives à l’emplacement suivant pour obtenir des renseignements sur la génération d’une requête de signature de certificat (CSR) à l’aide d’OpenSSL :

http://www.modssl.org/docs/2.8/ssl_faq.html#ToC28

Une fois la demande de signature de certificat (CSR) générée, envoyez-la à une autorité de certification (AC). L’autorité de certification renverra le certificat au format PEM.

Si vous obtenez un certificat pour la première fois, recherchez sur Internet « certificats de serveur de services d’autorité de certification SSL » et choisissez le service qui répond le mieux aux besoins de votre entreprise. Suivez les instructions du service pour obtenir un certificat SSL.

Note	Vous pouvez également générer et signer votre propre certificat. Les outils nécessaires sont inclus avec OpenSSL, le logiciel gratuit disponible à l’adresse http://www.openssl.org .

Outre la vérification du certificat de l’autorité de certification racine, AsyncOS prend en charge la vérification des certificats intermédiaires. Les certificats intermédiaires sont des certificats émis par une autorité de certification racine approuvée qui sont ensuite utilisés pour créer des certificats supplémentaires. Cela crée une ligne de confiance en chaîne. Par exemple, un certificat peut être émis par le site exemple.com qui, à son tour, se voit accorder les droits d’émettre des certificats par une autorité de certification racine approuvée. Le certificat émis par le site exemple.com doit être validé par rapport à la clé privée du site exemple.com ainsi que par rapport à la clé privée de l’autorité de certification racine approuvée.

Les serveurs envoient une « chaîne de certificats » dans une liaison SSL pour que les clients (par exemple, les navigateurs et, dans ce cas, le Secure Web Appliance, qui est un proxy HTTPS) authentifient le serveur. Normalement, le certificat du serveur est signé par un certificat intermédiaire qui, à son tour, est signé par un certificat racine approuvé et, pendant la liaison, le certificat du serveur et la chaîne complète de certificats sont présentés au client. Comme le certificat racine est généralement présent dans le magasin de certificats approuvés de Secure Web Appliance, la chaîne de certificats est vérifiée avec succès.

Cependant, il peut parfois arriver, lorsque le certificat de l’entité terminale est modifié sur le serveur, que les mises à jour nécessaires pour la nouvelle chaîne ne soient pas effectuées. Par conséquent, à partir de maintenant, le serveur présente uniquement le certificat de serveur lors de l’établissement de la liaison SSL et le proxy Secure Web Appliance ne peut pas vérifier la chaîne de certificats, car le certificat intermédiaire est manquant.

Auparavant, la solution consistait en l’intervention manuelle de l’administrateur Secure Web Appliance, qui téléchargeait le certificat intermédiaire nécessaire dans le magasin de certificats approuvés. Vous pouvez désormais utiliser la commande d’interface de ligne de commande advancedproxyconfig > HTTPS > Do you want to enable automatic discovery and download of missing Intermediate Certificates? (advancedproxyconfig > HTTPS > Voulez-vous activer la découverte et le téléchargement automatiques des certificats intermédiaires manquants?) pour activer la « découverte de certificats intermédiaires », un processus que Secure Web Appliance utilise afin d’éliminer l’étape manuelle dans ces situations.

La découverte de certificats intermédiaires utilise une méthode appelée « analyse AIA » : lorsqu’un certificat non fiable se présente, l’appliance Secure Web Appliance l’examine pour détecter une extension nommée « Authority Information Access ». Cette extension comprend un champ facultatif URI pour les émetteurs de l’autorité de certification, qui peuvent être interrogés pour le certificat de l’émetteur utilisé pour signer le certificat du serveur en question. Si le certificat de l’émetteur est disponible, Secure Web Appliance le récupère de manière récursive jusqu’à ce que le certificat de l’autorité de certification racine soit obtenu, puis tente à nouveau de vérifier la chaîne.

L’interruption connectivityFailure est destinée à surveiller la connexion de votre appliance à Internet. Pour ce faire, il tente de se connecter et envoie une requête HTTP GET à un seul serveur externe toutes les 5 à 7 secondes. Par défaut, l’URL surveillée est downloads.ironport.com sur le port 80.

Pour modifier l’URL ou le port surveillés, exécutez la commande snmpconfig et activez l’interruption connecivityFailure, même si elle est déjà activée. Vous verrez une invite pour modifier l’URL.

Tip

Pour simuler des interruptions connectivityFailure, vous pouvez utiliser la commande d’interface de ligne de commande dnsconfig pour saisir un serveur DNS qui ne fonctionne pas. Les recherches pour downloads.ironport.com vont échouer, et des interruptions seront envoyées toutes les 5 à 7 secondes. Assurez-vous de remplacer le serveur DNS par un serveur qui fonctionne après avoir terminé votre test.