Intégration avec IPS ou NGFW en tant que périphériques en ligne

Les dispositifs de sécurité tels que le système de prévention des intrusions (IPS) et le pare-feu de nouvelle génération (NGFW) protègent les serveurs contre les attaques réseau. Ces périphériques peuvent inspecter le trafic en direct et sont généralement déployés en mode en ligne de couche 2. Citrix Secure Web Gateway (SWG) assure la sécurité des utilisateurs et du réseau d’entreprise lors de l’accès aux ressources sur Internet.

Une appliance Citrix SWG peut être intégrée à un ou plusieurs périphériques en ligne afin de prévenir les menaces et de fournir une protection de sécurité avancée. Les périphériques en ligne peuvent être n’importe quel périphérique de sécurité, tel que IPS et NGFW.

Voici certains cas d’utilisation pour lesquels vous pouvez bénéficier de l’intégration de l’appliance Citrix SWG et des périphériques en ligne :

  • Inspection du trafic chiffré : la plupart des appliances IPS et NGFW contourne le trafic chiffré, ce qui peut rendre les serveurs vulnérables aux attaques. Une appliance Citrix SWG peut déchiffrer le trafic et l’envoyer aux périphériques en ligne pour inspection. Cette intégration améliore la sécurité du réseau du client.

  • Déchargement des périphériques en ligne du traitement TLS/SSL : le traitement TLS/SSL est coûteux, ce qui peut entraîner une utilisation élevée du processeur dans les appliances IPS ou NGFW si elles déchiffrent également le trafic. Une appliance Citrix SWG aide à décharger le traitement TLS/SSL à partir de périphériques en ligne. En conséquence, les périphériques en ligne peuvent inspecter un volume de trafic plus élevé.

  • Chargement des périphériques en ligne d’équilibrage : si vous avez configuré plusieurs périphériques en ligne pour gérer le trafic lourd, une appliance Citrix SWG peut équilibrer la charge et répartir le trafic de manière uniforme sur ces périphériques.

  • Sélection intelligente du trafic : Au lieu d’envoyer tout le trafic au périphérique en ligne pour inspection, l’appliance effectue une sélection intelligente du trafic. Par exemple, il ignore l’envoi de fichiers texte pour inspection aux périphériques en ligne.

Intégration de Citrix SWG avec les périphériques en ligne

Le diagramme suivant montre comment un Citrix SWG est intégré aux périphériques de sécurité en ligne.

présentation ips

Lorsque vous intégrez des périphériques en ligne à l’appliance Citrix SWG, les composants interagissent comme suit :

  1. Un client envoie une demande à un dispositif Citrix SWG.

  2. L’appliance envoie les données au périphérique en ligne pour inspection du contenu en fonction de l’évaluation de la stratégie. Pour le trafic HTTPS, l’appliance décrypte les données et les envoie en texte brut au périphérique en ligne pour inspection du contenu.

    Note :

    S’il y a au moins deux périphériques en ligne, la charge de l’appliance équilibre les périphériques et envoie le trafic.

  3. Le périphérique en ligne inspecte les données à la recherche de menaces et décide s’il faut supprimer, réinitialiser ou renvoyer les données à l’appliance.

  4. En cas de menaces de sécurité, le périphérique modifie les données et les envoie à l’appliance.

  5. Pour le trafic HTTPS, l’appliance recrypte les données et transmet la demande au serveur principal.

  6. Le serveur principal envoie la réponse à l’appliance.

  7. L’appliance déchiffre à nouveau les données et les envoie au périphérique en ligne pour inspection.

  8. Le périphérique en ligne inspecte les données. En cas de menaces de sécurité, le périphérique modifie les données et les envoie à l’appliance.

  9. L’appliance recrypte les données et envoie la réponse au client.

Configuration de l’intégration de périphériques en ligne

Vous pouvez configurer un dispositif Citrix SWG avec un périphérique en ligne de trois manières différentes, comme suit :

Scénario 1 : Utilisation d’un seul périphérique en ligne

Pour intégrer un périphérique de sécurité (IPS ou NGFW) en mode en ligne, vous devez activer l’inspection du contenu et le transfert basé sur Mac (MBF) en mode global sur l’appliance SWG. Ensuite, ajoutez un profil d’inspection de contenu, un service TCP, une action d’inspection de contenu pour les périphériques en ligne pour réinitialiser, bloquer ou supprimer le trafic en fonction de l’inspection. Ajoutez également une stratégie d’inspection du contenu utilisée par l’appliance pour décider du sous-ensemble de trafic à envoyer aux périphériques en ligne. Enfin, configurez le serveur virtuel proxy avec la connexion de couche 2 activée sur le serveur et liez la stratégie d’inspection du contenu à ce serveur virtuel proxy.

périphérique en ligne unique

Procédez comme suit :

  1. Activez le mode de transfert basé sur Mac (MPF).

  2. Activez la fonction d’inspection du contenu.

  3. Ajoutez un profil d’inspection de contenu pour le service. Le profil d’inspection du contenu contient les paramètres de périphérique en ligne qui intègrent l’appliance SWG à un périphérique en ligne.

  4. (Facultatif) Ajoutez un moniteur TCP.

    Note :

    Les périphériques transparents n’ont pas d’adresse IP. Par conséquent, pour effectuer des vérifications d’intégrité, vous devez lier explicitement un moniteur.

  5. Ajouter un service. Un service représente un périphérique en ligne.

  6. (Facultatif) Liez le service au moniteur TCP.

  7. Ajoutez une action d’inspection du contenu pour le service.

  8. Ajoutez une stratégie d’inspection du contenu et spécifiez l’action.

  9. Ajouter un serveur virtuel proxy HTTP ou HTTPS (commutation de contenu).

  10. Liez la stratégie d’inspection du contenu au serveur virtuel.

Configuration à l’aide de l’interface de ligne de commande

Tapez les commandes suivantes à l’invite de commandes. Des exemples sont donnés après la plupart des commandes.

  1. Activer MBF.

    enable ns mode mbf
    
  2. Activez la fonctionnalité.

    enable ns feature contentInspection
    
  3. Ajoutez un profil d’inspection du contenu.

    add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
    

    Exemple :

    add contentInspection profile ipsprof -type InlineInspection -ingressinterface "1/2" -egressInterface "1/3"
    
  4. Ajouter un service. Spécifiez une adresse IP factice qui n’appartient à aucun des périphériques, y compris les périphériques en ligne. Définissez use source IP address (USIP) sur YES. Définissez useproxyport sur NO. Éteignez le moniteur d’intégrité. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

    add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
    

    Exemple :

    add service ips_service 198.51.100.2 TCP * -healthMonitor YES -usip YES -useproxyport NO -contentInspectionProfileName ipsprof
    
    
  5. Ajoutez une action de contrôle du contenu.

    add contentInspection action <name> -type INLINEINSPECTION -serverName <string>
    

    Exemple :

    add contentInspection action ips_action -type INLINEINSPECTION -serverName ips_service
    
  6. Ajoutez une stratégie d’inspection du contenu.

    add contentInspection policy <name> -rule <expression> -action <string>
    

    Exemple :

    add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE("CONNECT")" -action ips_action
    
  7. Ajouter un serveur virtuel proxy.

    add cs vserver <name> PROXY <IPAddress> <port> -cltTimeout <secs> -Listenpolicy <expression> -authn401 ( ON | OFF ) -authnVsName <string> -l2Conn ON
    

    Exemple :

    add cs vserver transparentcs PROXY * * -cltTimeout 180 -Listenpolicy exp1 -authn401 on -authnVsName swg-auth-vs-trans-http -l2Conn ON
    
  8. Liez la stratégie au serveur virtuel.

    bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST
    

    Exemple :

    bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST
    

Configuration à l’aide de l’interface graphique

  1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

    Paramètres du système

    Activer le transfert basé sur Mac

  2. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

    Paramètres avancés

    Activer l'inspection du contenu

  3. Accédez à Secure Web Gateway > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

    Profil d'inspection du contenu

  4. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment. Dans Paramètres de service, définissez Utiliser l’adresse IP sourcesur YES et Utiliser le port proxysur Non. Dans Paramètres de base, définissez le contrôle de l’intégrité sur NO. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

    Lier le profil d'inspection du contenu au service

    Paramètres supplémentaires

    Paramètre de surveillance de l'intégrité

  5. Accédez à Secure Web Gateway > Serveurs virtuels proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

    Ajouter une stratégie

  6. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

    Stratégie d'inspection du contenu

  7. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

    Ajouter une action

  8. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le service TCP créé précédemment.

    Action d'inspection du contenu

  9. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

    Ajouter une règle de stratégie

  10. Cliquez sur Bind.

  11. Cliquez sur Terminé.

Scénario 2 : Équilibrer la charge plusieurs périphériques en ligne avec des interfaces dédiées

Si vous utilisez au moins deux périphériques en ligne, vous pouvez équilibrer la charge des périphériques à l’aide de différents services d’inspection de contenu avec des interfaces dédiées. Dans ce cas, la charge du dispositif Citrix SWG équilibre le sous-ensemble de trafic envoyé à chaque périphérique via une interface dédiée. Le sous-ensemble est déterminé en fonction des stratégies configurées. Par exemple, les fichiers TXT ou image peuvent ne pas être envoyés pour inspection aux périphériques en ligne.

plusieurs périphériques en ligne

La configuration de base reste la même que dans le scénario 1. Toutefois, vous devez créer un profil d’inspection de contenu pour chaque périphérique en ligne et spécifier l’interface d’entrée et de sortie dans chaque profil. Ajoutez un service pour chaque périphérique en ligne. Ajoutez un serveur virtuel d’équilibrage de charge et spécifiez-le dans l’action d’inspection du contenu. Effectuez les étapes supplémentaires suivantes :

  1. Ajoutez des profils d’inspection de contenu pour chaque service.

  2. Ajoutez un service pour chaque périphérique.

  3. Ajouter un serveur virtuel d’équilibrage de charge.

  4. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

Configuration à l’aide de l’interface de ligne de commande

Tapez les commandes suivantes à l’invite de commandes. Des exemples sont donnés après chaque commande.

  1. Activer MBF.

    enable ns mode mbf
    
  2. Activez la fonctionnalité.

    enable ns feature contentInspection
    
  3. Ajouter le profil 1 pour le service 1.

    add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
    

    Exemple :

    add contentInspection profile ipsprof1 -type InlineInspection -ingressInterface "1/2" -egressInterface "1/3"
    
  4. Ajouter le profil 2 pour le service 2.

    add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
    

    Exemple :

    add contentInspection profile ipsprof2 -type InlineInspection -ingressInterface "1/4" -egressInterface "1/5"
    
  5. Ajouter le service 1. Spécifiez une adresse IP factice qui n’appartient à aucun des périphériques, y compris les périphériques en ligne. Définissez use source IP address (USIP) sur YES. Définissez useproxyport sur NO. Éteignez le moniteur d’intégrité. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

    add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
    

    Exemple :

    add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1
    
  6. Ajouter le service 2. Spécifiez une adresse IP factice qui n’appartient à aucun des périphériques, y compris les périphériques en ligne. Définissez use source IP address (USIP) sur YES. Définissez useproxyport sur NO. Éteignez le moniteur d’intégrité. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

    add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
    

    Exemple :

    add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO  -contentInspectionProfileName ipsprof2
    
  7. Ajouter un serveur virtuel d’équilibrage de charge.

    add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>
    

    Exemple :

    add lb vserver lb_inline_vserver TCP 192.0.2.100 *
    
  8. Liez les services au serveur virtuel d’équilibrage de charge.

    bind lb vserver <LB_VSERVER_NAME> <service_name>
    bind lb vserver <LB_VSERVER_NAME> <service_name>
    

    Exemple :

    bind lb vserver lb_inline_vserver ips_service1
    bind lb vserver lb_inline_vserver ips_service2
    
  9. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

    add contentInspection action <name> -type INLINEINSPECTION -serverName <string>
    

    Exemple :

    add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver
    
  10. Ajoutez une stratégie d’inspection du contenu. Spécifiez l’action de contrôle du contenu dans la stratégie.

    add contentInspection policy <name> -rule <expression> -action <string>
    

    Exemple :

    add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE("CONNECT")" -action ips_action
    
  11. Ajouter un serveur virtuel proxy.

    add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON
    

    Exemple :

    add cs vserver transparentcs PROXY * * -l2Conn ON
    
  12. Liez la stratégie d’inspection du contenu au serveur virtuel.

    bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST
    

    Exemple :

    bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST
    

Configuration à l’aide de l’interface graphique

  1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

    Paramètres du système

    Activer le transfert basé sur Mac

  2. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

    Paramètres avancés

    Activer l'inspection du contenu

  3. Accédez à Secure Web Gateway > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

    Profil d'inspection du contenu

    Spécifiez les interfaces d’entrée et de sortie.

    Spécifier les interfaces d'entrée et de sortie

    Créez deux profils. Spécifiez une interface d’entrée et de sortie différente dans le deuxième profil.

  4. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment. Dans Paramètres de service, définissez Utiliser l’adresse IP sourcesur YES et Utiliser le port proxysur Non. Dans Paramètres de base, définissez le contrôle de l’intégrité sur NO. Activez la surveillance de l’intégrité uniquement si vous liez ce service à un moniteur TCP. Si vous liez un moniteur à un service, définissez l’option TRANSPARENT du moniteur sur ON.

    Lier le profil d'inspection du contenu au service

    Paramètres supplémentaires

    Paramètre de surveillance de l'intégrité

    Créez deux services. Spécifiez des adresses IP factices qui ne sont détenues par aucun des périphériques, y compris les périphériques en ligne.

  5. Accédez à Équilibrage de charge > Serveurs virtuels > Ajouter. Créez un serveur virtuel d’équilibrage de charge TCP.

    Serveur virtuel d'équilibrage de charge

    Cliquez sur OK.

  6. Cliquez dans la section Load Balancing Virtual Server Service Liaison. Dans Liaison de service, cliquez sur la flèche dans Sélectionner le service. Sélectionnez les deux services créés précédemment, puis cliquez sur Sélectionner. Cliquez sur Bind.

    Cliquez sur la flèche

    Sélectionner les services à lier

    Liaison des services au serveur virtuel

  7. Accédez à Secure Web Gateway > Serveurs virtuels proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

    Ajouter une stratégie

  8. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

    Stratégie d'inspection du contenu

  9. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

    Ajouter une action

  10. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le serveur virtuel d’équilibrage de charge créé précédemment.

    Action d'inspection du contenu

  11. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

    Ajouter une règle de stratégie

  12. Cliquez sur Bind.

  13. Cliquez sur Terminé.

Scénario 3 : Équilibrer la charge plusieurs périphériques en ligne avec des interfaces partagées

Si vous utilisez au moins deux périphériques en ligne, vous pouvez équilibrer la charge des périphériques à l’aide de différents services d’inspection de contenu avec des interfaces partagées. Dans ce cas, la charge du dispositif Citrix SWG équilibre le sous-ensemble de trafic envoyé à chaque périphérique via une interface partagée. Le sous-ensemble est déterminé en fonction des stratégies configurées. Par exemple, les fichiers TXT ou image peuvent ne pas être envoyés pour inspection aux périphériques en ligne.

plusieurs périphériques en ligne avec interface partagée

La configuration de base reste la même que dans le scénario 2. Pour ce scénario, lier les interfaces à différents VLAN pour séparer le trafic de chaque périphérique en ligne. Spécifiez les VLAN dans les profils d’inspection du contenu. Effectuez les étapes supplémentaires suivantes :

  1. Liez les interfaces partagées à différents VLAN.

  2. Spécifiez les VLAN d’entrée et de sortie dans les profils d’inspection du contenu.

Configuration à l’aide de l’interface de ligne de commande

Tapez les commandes suivantes à l’invite de commandes. Des exemples sont donnés après chaque commande.

  1. Activer MBF.

    enable ns mode mbf
    
  2. Activez la fonctionnalité.

    enable ns feature contentInspection
    
  3. Liez les interfaces partagées à différents VLAN.

    bind vlan <id> -ifnum <interface> -tagged
    

    Exemple :

    bind vlan 100 –ifnum 1/2 tagged
    bind vlan 200 –ifnum 1/3 tagged
    bind vlan 300 –ifnum 1/2 tagged
    bind vlan 400 –ifnum 1/3 tagged
    
  4. Ajouter le profil 1 pour le service 1. Spécifiez les VLAN d’entrée et de sortie dans le profil.

    add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
    

    Exemple :

    add contentInspection profile ipsprof1 -type InlineInspection -egressInterface "1/3" -ingressinterface "1/2" –egressVlan 100 -ingressVlan 300
    
  5. Ajouter le profil 2 pour le service 2. Spécifiez les VLAN d’entrée et de sortie dans le profil.

    add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
    

    Exemple :

    add contentInspection profile ipsprof2 -type InlineInspection -egressInterface "1/3" -ingressinterface "1/2" –egressVlan 200 -ingressVlan 400
    
  6. Ajouter le service 1.

    add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
    

    Exemple :

    add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1
    
  7. Ajouter le service 2.

    add service <service_name>  <IP> TCP <Port> - contentinspectionProfileName <Name>  -healthMonitor NO  -usip YES –useproxyport NO
    

    Exemple :

    add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof2
    
  8. Ajouter un serveur virtuel d’équilibrage de charge.

    add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>
    

    Exemple :

    add lb vserver lb_inline_vserver TCP 192.0.2.100 *
    
  9. Liez les services au serveur virtuel d’équilibrage de charge.

    bind lb vserver <LB_VSERVER_NAME> <service_name>
    bind lb vserver <LB_VSERVER_NAME> <service_name>
    

    Exemple :

    bind lb vserver lb_inline_vserver ips_service1
    bind lb vserver lb_inline_vserver ips_service2
    
  10. Spécifiez le serveur virtuel d’équilibrage de charge dans l’action d’inspection du contenu.

    add contentInspection action <name> -type INLINEINSPECTION -serverName <string>
    

    Exemple :

    add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver
    
  11. Ajoutez une stratégie d’inspection du contenu. Spécifiez l’action de contrôle du contenu dans la stratégie.

    add contentInspection policy <name> -rule <expression> -action <string>
    

    Exemple :

    add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE("CONNECT")" -action ips_action
    
  12. Ajouter un serveur virtuel proxy.

    add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON
    

    Exemple :

    add cs vserver transparentcs PROXY * * -l2Conn ON
    
  13. Liez la stratégie d’inspection du contenu au serveur virtuel.

    bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST
    

    Exemple :

    bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST
    

Configuration à l’aide de l’interface graphique

  1. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les modes.

    Paramètres du système

    Activer le transfert basé sur Mac

  2. Accédez à Système > Paramètres. Dans Modes et fonctionnalités, cliquez sur Configurer les fonctionnalités avancées.

    Paramètres avancés

    Activer l'inspection du contenu

  3. Accédez à Système > Réseau > VLAN > Ajouter. Ajoutez quatre VLAN et marquez-les sur les interfaces.

    Créer un VLAN 100

    Créer un VLAN 200

    Créer un VLAN 300

    Créer un VLAN 400

  4. Accédez à Secure Web Gateway > Inspection du contenu > Profils d’inspection du contenu. Cliquez sur Ajouter.

    Profil d'inspection du contenu

    Spécifiez les VLAN d’entrée et de sortie.

    Spécifier les interfaces et les VLAN pour le profil 1

    Créez d’autres profils. Spécifiez un VLAN d’entrée et de sortie différent dans le deuxième profil.

    Spécifier les interfaces et les VLAN pour le profil 2

  5. Accédez à Équilibrage de charge > Services > Ajouter et ajouter un service. Dans Paramètres avancés, cliquez sur Profils. Dans la liste Nom du profil CI, sélectionnez le profil d’inspection du contenu créé précédemment. Dans Paramètres de service, définissez Utiliser l’adresse IP sourcesur YES et Utiliser le port proxysur Non. Dans Paramètres de base, définissez le contrôle de l’intégrité sur NO.

    Créez deux services. Spécifiez des adresses IP factices qui ne sont détenues par aucun des périphériques, y compris les périphériques en ligne. Spécifiez le profil 1 dans le service 1 et le profil 2 dans le service 2.

    Liaison du profil d'inspection du contenu 1 au service 1

    Liaison du profil d'inspection du contenu 2 au service 2

    Paramètres supplémentaires

    Paramètre de surveillance de l'intégrité

  6. Accédez à Équilibrage de charge > Serveurs virtuels > Ajouter. Créez un serveur virtuel d’équilibrage de charge TCP.

    Serveur virtuel d'équilibrage de charge

    Cliquez sur OK.

  7. Cliquez dans la section Load Balancing Virtual Server Service Liaison. Dans Liaison de service, cliquez sur la flèche dans Sélectionner le service. Sélectionnez les deux services créés précédemment, puis cliquez sur Sélectionner. Cliquez sur Bind.

    Cliquez sur la flèche

    Sélectionner les services à lier

    Liaison des services au serveur virtuel

  8. Accédez à Secure Web Gateway > Serveurs virtuels proxy > Ajouter. Spécifiez un nom, une adresse IP et un port. Dans Paramètres avancés, sélectionnez Stratégies. Cliquez sur le signe « + ».

    Ajouter une stratégie

  9. Dans Choisir une stratégie, sélectionnez Inspection du contenu. Cliquez sur Continuer.

    Stratégie d'inspection du contenu

  10. Cliquez sur Ajouter. Spécifiez un nom. Dans Action, cliquez sur Ajouter.

    Ajouter une action

  11. Spécifiez un nom. Dans Type, sélectionnez INLINEINSPECTION. Dans Nom du serveur, sélectionnez le serveur virtuel d’équilibrage de charge créé précédemment.

    Action d'inspection du contenu

  12. Cliquez sur Créer. Spécifiez la règle et cliquez sur Créer.

    Ajouter une règle de stratégie

  13. Cliquez sur Bind.

  14. Cliquez sur Terminé.