绕过安全网络设备中的身份验证

简介

本文档介绍在安全Web设备(SWA)中免除身份验证的步骤。

先决条件

要求

Cisco 建议您了解以下主题：

• SWA管理。

思科建议您安装以下工具：

• 物理或虚拟SWA

• 对SWA图形用户界面(GUI)的管理访问

使用的组件

本文档不限于特定的软件和硬件版本。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

免除身份验证 

免除思科SWA中特定用户或系统的身份验证对于保持运营效率和满足特定要求至关重要。首先，一些用户或系统需要不间断地访问可能受身份验证过程阻碍的关键资源或服务。例如，执行定期更新或备份的自动化系统或服务帐户需要无缝访问，而不需要身份验证机制导致的延迟或潜在故障。

此外，在某些情况下，Web服务提供商建议不使用代理来访问其服务。在这种情况下，免除身份验证可确保符合提供商指南并维护服务可靠性。此外，为了有效阻止某些用户的流量，通常需要首先免除这些用户的身份验证，然后应用适当的阻止策略。此方法允许对访问权限进行精确控制。

在某些情况下，所访问的Web服务是受信任的，并且普遍可接受，例如Microsoft更新。免除此类服务的身份验证可简化所有用户的访问。此外，在某些情况下，用户操作系统或应用不支持SWA中配置的身份验证机制，因此需要旁路来确保连接。

最后，具有固定IP地址、没有用户登录且受信任的Internet访问受限的服务器不需要身份验证，因为其访问模式可预测且安全。

通过从战略角度免除对这些案例的身份验证，组织可以在安全需求与运营效率之间取得平衡。

思科SWA中免除身份验证的方法

SWA中的豁免身份验证可通过各种方法实现，每种方法均针对特定场景和要求定制。以下是配置身份验证豁免的一些常用方法：

• IP地址或子网掩码：最简单的方法之一是使特定IP地址或整个子网免于身份验证。这对于具有固定IP地址或受信任网段的服务器特别有用，因为它们需要不间断地访问Internet或内部资源。通过在SWA配置中指定这些IP地址或子网掩码，您可以确保这些系统绕过身份验证过程。
• 代理端口：您可以将SWA配置为根据特定代理端口免除流量。当某些应用程序或服务使用指定端口进行通信时，此功能非常有用。通过识别这些端口，您可以设置SWA绕过这些端口上的流量的身份验证，从而确保相关应用或服务的无缝访问。
• URL类别：另一种方法是根据URL类别免除身份验证。这可以包括预定义的思科类别和根据贵公司特定需求定义的自定义URL类别。例如，如果某些Web服务（例如Microsoft更新）被视为受信任且普遍可接受，则可以将SWA配置为绕过这些特定URL类别的身份验证。这可确保所有用户无需身份验证即可访问这些服务。
• 用户代理：基于用户代理免除身份验证在处理不支持已配置的身份验证机制的特定应用或设备时非常有用。通过识别这些应用或设备的用户代理字符串，您可以将SWA配置为绕过源自这些应用或设备的流量的身份验证，从而确保无缝连接。

.

绕过身份验证的步骤 

以下是创建免验证身份配置文件的步骤：

步骤1:在GUI中，选择网络安全管理器，然后单击标识配置文件。
第二步：单击Add Profile添加配置文件。
第三步：使用Enable Identification Profile复选框可启用此配置文件，或快速禁用此配置文件而不将其删除。
第四步：分配唯一的配置文件名称。
第5步（可选）添加说明。
第六步：从插入下拉列表中，选择此配置文件在表中的显示位置。

注：将不要求身份验证的标识配置文件置于列表顶部。此方法可减少SWA上的负载，最大程度减少身份验证队列，并加快其他用户的身份验证。

步骤 7. 在User Identification Method部分中，选择Exempt from authentication/identication。

步骤 8在Define Members by Subnet中，输入此标识配置文件必须应用的IP地址或子网。您可以使用IP地址、无类域间路由(CIDR)块和子网。

第9步：（可选）点击高级(Advanced)以定义其他成员身份条件，例如代理端口、URL类别或用户代理。

注意：在透明代理部署中，SWA无法读取HTTPS流量的用户代理或完整URL，除非流量已解密。因此，如果您使用用户代理或带正则表达式的自定义URL类别来配置标识配置文件，此流量将无法与标识配置文件匹配。

有关如何配置自定义URL类别的详细信息，请访问：在安全网络设备-思科中配置自定义URL类别

提示：策略使用AND逻辑，这意味着必须满足所有条件才能匹配ID配置文件。设置Advanced选项后，必须满足每一项要求才能应用策略。

映像-创建ID配置文件以绕过身份验证的步骤

步骤 10提交并提交更改。

相关信息

• 思科安全Web设备AsyncOS 15.0用户指南- GD（通用部署）-对最终用户进行策略应用分类[思科安全Web设备] -思科
• 在安全网络设备中配置自定义URL类别-思科
• 如何使Office 365流量免于在思科网络安全设备(WSA)上进行身份验证和解密-思科