Erste Schritte mit der SSL Forward-Proxy-Funktion

August 19, 2021

Beitrag von:

Wichtig:

OCSP-Prüfung erfordert eine Internetverbindung, um die Gültigkeit von Zertifikaten zu überprüfen. Wenn die Appliance über die NSIP-Adresse nicht über das Internet zugegriffen werden kann, fügen Sie Zugriffssteuerungslisten (ACLs) hinzu, um NAT von der NSIP-Adresse zur Subnetz-IP-Adresse (SNIP) auszuführen. Der SNIP muss auf das Internet zugreifen können. Zum Beispiel:
```
 add ns acl a1 ALLOW -srcIP = <NSIP> -destIP “!=” 10.0.0.0-10.255.255.255

 add rnat RNAT-1 a1

 bind rnat RNAT-1 -<SNIP>

 apply acls
 
```
Geben Sie einen DNS-Namensserver an, um Domänennamen aufzulösen.
Stellen Sie sicher, dass das Datum auf der Appliance mit den NTP-Servern synchronisiert ist. Wenn das Datum nicht synchronisiert wird, kann die Appliance nicht effektiv überprüfen, ob es sich bei einem Ursprungsserverzertifikat um ein abgelaufenes Zertifikat handelt.

Um das SSL-Forward-Proxy-Feature zu verwenden, müssen Sie die folgenden Aufgaben ausführen:

Fügen Sie einen Proxyserver im expliziten oder transparenten Modus hinzu.
Aktivieren Sie SSL-Interception.
- Konfigurieren Sie ein SSL-Profil.
- Fügen Sie SSL-Richtlinien hinzu und binden Sie sie an den Proxyserver.
- Fügen Sie ein Zertifizierungsstellen-Zertifikatschlüsselpaar für SSL-Interception hinzu und binden Sie sie.

Hinweis:

Eine im transparenten Proxy-Modus konfigurierte ADC-Appliance kann nur HTTP- und HTTPS-Protokolle abfangen. Um andere Protokolle wie Telnet zu umgehen, müssen Sie die folgende Abhörrichtlinie auf dem virtuellen Proxyserver hinzufügen.

Der virtuelle Server akzeptiert jetzt nur den eingehenden HTTP- und HTTPS-Datenverkehr.

set cs vserver transparent-pxy1 PROXY * * -cltTimeout 180 -Listenpolicy "CLIENT.TCP.DSTPORT.EQ(80) || CLIENT.TCP.DSTPORT.EQ(443)"`
<!--NeedCopy-->

Je nach Bereitstellung müssen Sie möglicherweise die folgenden Funktionen konfigurieren:

Authentifizierungsdienst (empfohlen) — zur Authentifizierung von Benutzern. Ohne den Authentifizierungsdienst basiert die Benutzeraktivität auf der Client-IP-Adresse.
URL-Filter — zum Filtern von URLs nach Kategorien, Reputationsbewertung und URL-Listen.
Analytics: Zum Anzeigen von Benutzeraktivitäten, Benutzerrisikoindikatoren, Bandbreitenverbrauch und Transaktionen in Citrix Application Delivery Management (ADM).

Hinweis: SSL Forward Proxy implementiert die meisten typischen HTTP- und HTTPS-Standards, gefolgt von ähnlichen Produkten. Diese Implementierung wird ohne einen bestimmten Browser durchgeführt und ist mit den meisten gängigen Browsern kompatibel. SSL Forward Proxy wurde mit gängigen Browsern und aktuellen Versionen von Google Chrome, Internet Explorer und Mozilla Firefox getestet.

SSL-Weiterleitungs-Proxy-Assistent

Der SSL-Forward-Proxyassistent stellt Administratoren ein Tool zur Verfügung, mit dem die gesamte SSL-Forward-Proxybereitstellung mithilfe eines Webbrowsers verwaltet werden kann. Es hilft den Kunden dabei, einen SSL-Forward-Proxydienst schnell einzurichten, und vereinfacht die Konfiguration durch eine Reihe von klar definierten Schritten.

Navigieren Sie zu Sicherheit > SSL Forward Proxy. Klicken Sie unter Erste Schritte auf SSL-Forward-Proxy-Assistent.
Führen Sie die Schritte im Assistenten aus, um Ihre Bereitstellung zu konfigurieren.

Hinzufügen einer Listenrichtlinie zum transparenten Proxyserver

Navigieren Sie zu Sicherheit > SSL-Forward-Proxy> Virtual Proxy Server. Wählen Sie den transparenten Proxyserver aus, und klicken Sie auf Bearbeiten.
Bearbeiten Sie die Grundeinstellungen, und klicken Sie auf Mehr.
Geben Sie unter Listenpriorität 1 ein.
Geben Sie unter Listen-Richtlinienausdruck den folgenden Ausdruck ein:
```
(CLIENT.TCP.DSTPORT.EQ(80)||CLIENT.TCP.DSTPORT.EQ(443))

```
Dieser Ausdruck setzt Standardports für HTTP- und HTTPS-Datenverkehr voraus. Wenn Sie verschiedene Ports konfiguriert haben, z. B. 8080 für HTTP oder 8443 für HTTPS, ändern Sie den Ausdruck so, dass er diese Ports widerspiegelt.

Einschränkungen

SSL-Forwardproxy wird in einem Cluster-Setup, in Adminpartitionen und auf einer Citrix ADC FIPS-Appliance nicht unterstützt.

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Citrix Dokumentation maschinell übersetzt. Citrix hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Citrix Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Citrix gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Citrix kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Erste Schritte mit der SSL Forward-Proxy-Funktion

August 19, 2021

Beitrag von:

August 19, 2021

Beitrag von:

In diesem Artikel

SSL-Weiterleitungs-Proxy-Assistent
Hinzufügen einer Listenrichtlinie zum transparenten Proxyserver
Einschränkungen