المقدمة
يصف هذا المستند تنفيذ سياسة الوصول الآمن عند إستخدام بروتوكولات تطبيق معينة.
المتطلبات الأساسية
المتطلبات
توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:
- الوصول الآمن
- بروتوكول نقل الملفات (FTP)
- بروتوكول التحكم في الإرسال (TCP)
- جدار الحماية كخدمة (FWaaS)
- القشرة الآمنة (SSH)
- بروتوكول نقل النص التشعبي (HTTP)
- اتصال إنترنت UDP السريع (QUIC)
- البروتوكول الآمن لنقل رسائل البريد (SMTP)
معلومات أساسية
إن الاختبار النموذجي الذي يتم إجراؤه على برنامج FWaaS لتقييم تنفيذ السياسات القائمة على بروتوكول التطبيق هو إختبار لإساءة إستخدام البروتوكول.
يتضمن الاختبار الخاص بهذا السيناريو عادة إنشاء سياسة لحظر بروتوكول تطبيق معين مثل FTP/SSH على منفذ غير قياسي . على سبيل المثال، السماح ل FTP فقط على منفذ TCP رقم 21 وحظر FTP على منفذ TCP رقم 80.
يستخدم Secure Access اكتشاف بروتوكول OpenAppID لاكتشاف بروتوكولات التطبيقات مثل FTP و SSH و QUIC و SMTP وغيرها. ويستخدم عبارة ويب آمنة لتأمين حركة مرور بيانات HTTP(s).
المشكلة: ينتج عن إختبار فرض السياسة لبروتوكولات تطبيق معينة على TCP 80/443 مهلة اتصال ولا يتم إنشاء أي سجلات في الوصول الآمن
في ظل ظروف معينة مثل محاولة السماح ببروتوكولات معينة مثل FTP على منفذ TCP 80/443/حظرها، نواجه حالة يتم فيها اعتراض الاتصال الأولي بين العميل والخادم بواسطة المحرك الوكيل، ويتم إكمال مصافحة TCP، ثم ينتظر المحرك الوكيل في Secure Access على العميل لإرسال حركة مرور البيانات، ولكن البروتوكول يتطلب إشارة من جانب الخادم للوصول إلى العميل.
يؤدي هذا الموقف إلى انتهاء وقت الاتصال نظرا لانتظار العميل لإشارة الخادم وتراجع الوكيل عن الاتصال في نهاية المطاف. ولا يقوم Secure Access بإنشاء أي سجلات لهذا النوع من الجلسات.
الحل
هذا سلوك متوقع بسبب الطريقة التي يتم بها تأمين حركة مرور الويب بواسطة بنية الوصول الآمن ونظرا لأن هذا الاختبار يتضمن حركة مرور غير خاصة بالويب (FTP و SSH و Telnet و SMTP و IMAP والبروتوكولات الأخرى التي تعتمد على الإشارة من جانب الخادم في البداية) على منافذ الويب، فلا يتم إنشاء سجلات لمثل هذه الجلسة.
معلومات ذات صلة
التعليقات