Pregunta:
¿Cómo se configura el routing basado en políticas (PBR) en un switch o router multicapa de Cisco para reenviar el tráfico al WSA?
Entorno: dispositivo de seguridad Cisco Web Security Appliance (WSA), modo transparente (switch L4)
Cuando WSA se configura en modo transparente mediante un switch L4, no es necesario realizar ninguna configuración en el WSA. El redireccionamiento es controlado por el switch (o router) L4.
Es posible utilizar el routing basado en políticas (PBR) para redirigir el tráfico web a WSA. Esto se logra haciendo coincidir el tráfico correcto (según los puertos TCP) e indicando al router/switch que redirija este tráfico al WSA.
En el siguiente ejemplo, la interfaz de datos/proxy de WSA (M1 o P1 según la configuración) se encuentra en una interfaz VLAN dedicada del switch/router multicapa (Vlan3) y el router de Internet también se encuentra en una interfaz VLAN dedicada (Vlan4). Los clientes se encuentran en Vlan1 y Vlan2.
| Configuración inicial (solo se muestran las piezas relevantes) |
interfaz Vlan1
desc User VLAN 1
IP address 10.1.1.1 255.255.255.0
!
interface Vlan2
desc User VLAN 2
IP address 10.1.2.1 255.255.255.0
!
interface Vlan3
desc VLAN dedicada de Cisco WSA
ip address 192.168.1.1 255.255.255.252
!
interface Vlan4
desc Internet Router dedicated VLAN
ip address 192.168.2.1 255.255.255.252
!
ip route 0.0.0.0 0.0.0.0 192.168.2.2
|
En el ejemplo anterior, y si Cisco WSA tiene una dirección IP 192.168.1.2, debe agregar los siguientes comandos para configurar el routing basado en políticas (PBR):
| Paso 1: Definir el tráfico web |
! Coincidir tráfico HTTP
access-list 100 permit tcp 10.1.1.0 0.0.0.255 any eq 80
access-list 100 permit tcp 10.1.2.0 0.0.0.255 any eq 80
! Coincidir con tráfico HTTPS
access-list 100 permit tcp 10.1.1.0 0.0.0.255 any eq 443
access-list 100 permit tcp 10.1.2.0 0.0.0.255 any eq 443 |
| Paso 2: Defina un mapa de ruta para controlar dónde se envían los paquetes. |
route-map ForwardWeb permit 10
match ip address 100
set ip next-hop 192.168.1.2 |
| Paso 3: Aplique el mapa de ruta a la interfaz correcta. |
!Tenga en cuenta que esto debe aplicarse a la interfaz de origen (lado del cliente)
interfaz Vlan1
ip policy route-map ForwardWeb
!
interface Vlan2
ip policy route-map ForwardWeb |
Nota: este método de redirección del tráfico (PBR) tiene algunas limitaciones. El principal problema de este método es que el tráfico siempre se redirigirá al WSA aunque el dispositivo no sea accesible (por ejemplo, debido a problemas de red). Por lo tanto, no existe una opción de recuperación.
Para solucionar esta deficiencia, puede configurar uno de los siguientes elementos:
- PBR con opciones de seguimiento al utilizar routers de Cisco. Esta función se utiliza para verificar la disponibilidad del salto siguiente antes de redirigir el tráfico.
Más detalles en el siguiente artículo:
Ruteo basado en la política con el ejemplo de configuración de la función de opciones de seguimiento múltiple
- Las opciones de seguimiento no están disponibles para los switches Catalyst de Cisco. Sin embargo, existe una solución alternativa avanzada disponible para lograr el mismo comportamiento.
Puede encontrar más información en la siguiente wiki de Cisco:
Routing basado en políticas (PBR) con seguimiento para switches Catalyst 3xxx: una solución alternativa mediante EEM
Comentarios