Guide PoC : Redirection d’URL avec Secure Browser et Citrix ADC dans Azure
Vue d’ensemble
Voici les兵站de配置倒配置un ADC, configurer SSL Forward Proxy et Interception SSL à l’aide du dernier modèle de marché Citrix ADC. La fonction Redirection d’URL vers Secure Browser de l’ADC permet aux administrateurs de définir automatiquement des catégories de sites Web spécifiques à rediriger du navigateur local vers Secure Browser. Le Citrix ADC agit comme un proxy intermédiaire pour effectuer l’interception entre la navigation locale et Internet, ce qui permet d’isoler le Web et de protéger le réseau d’entreprise. Cette fonctionnalité améliore la sécurité sans compromettre l’expérience utilisateur.
Architecture conceptuelle
Scope
Ce guide de validation de concept décrit les éléments suivants :
- Obtenir un compte d’évaluation du navigateur sécurisé
- Configurer ADC dans Azure
- Configurer l’appliance Citrix ADC en tant que proxy
- Configurer l’interception SSL
- Configurer la stratégie et les actions de réécriture
Étapes de déploiement
Section 1 : Obtenir un compte d’évaluation sécurisé du navigateur
Document de référence pour Secure Browser Service
Demander une version d’essai du navigateur sécurisé
Accédez à votre compte Citrix Cloud et entrez le nom d’utilisateur et le mot de passe
Cliquez sur Sign In. Si votre compte gère plus d’un client, sélectionnez le
Double-cliquez sur lavignette du navigateur sécurisé.
Si vous savez qui est votre équipe de compte, contactez-lui pour obtenir l’évaluation approuvée. Si vous ne savez pas qui est votre équipe de compte, passez à l’étape suivante.
Cliquez surDemander un appel
Entrez vos coordonnées et dans la sectionCommentairesspécifiez« Version d’essai du Secure Browser Service ».
Cliquez surSubmit.
Remarque :
Citrix Sales vous contactera pour vous donner accès au service. Ce n’est pas immédiat, un représentant commercial Citrix contactera
Une fois la version d’évaluation de Secure Browser approuvée, consultez lasectionPublier un navigateur sécurisédu document Citrixpour publier une application Secure Browser.
Activer les paramètres d’URL
Dans votre abonnement Citrix Cloud, double-cliquez sur la vignetteSecure Browser
Dans votre navigateur publié, appelé « navigateur » dans cet exemple, cliquez sur les trois points et sélectionnezStratégies
Activerla stratégie Paramètres d’URLsur votre navigateur publié
Section 2 : Configurer ADC dans Azure
L’ADC peut être configuré dans n’importe quel cloud de votre choix. Dans cet exemple, Azure est notre Cloud de choix.
Configurer une instance ADC
Accédez àToutes les ressourceset cliquez sur+ le bouton Ajouter, recherchez Citrix ADC
Sélectionner unmodèle Citrix ADC
Sélectionnez le plan logiciel en fonction de vos besoins (dans cet exemple Bring Your Own License)
Cliquez surCréer
Configurer la carte NIC
Accédez àToutes les ressourceset sélectionnez la carte NIC pour l’instance ADC
SélectionnezConfigurations IP, notez l’adresse de gestion ADC
Activez les paramètres de transfert IP, enregistrez les modifications.
Configurer l’adresse IP virtuelle
Cliquez surAjouter, définissez
virtualip
comme nom de la nouvelle configuration.SélectionnezStaticet ajoutez une nouvelle adresse IP après l’adresse de gestion
Activer l’option Adresse publique et créer une nouvelle adresse IP publique
Enregistrer les modifications
Configurer le nom de domaine complet sur le client
Accédez à la ressource Adresse IP publique créée pour la
virtualip
configurationCliquez surConfigurationet ajoutez une étiquette DNS (dans cet exemple,
urlredirection.eastus.cloudapp.azure.com
)
Configurer les règles de mise en réseau
Ajouter les règles de mise en réseau suivantes
Remarque :
Vous pouvez choisir de fermer les ports 22 et 443 une fois la configuration terminée, car ces ports ne sont nécessaires qu’à la connexion à la console de gestion à des fins de configuration.
À ce stade,l’instance ADC dans Azure est configurée
Section 3 : Configurer l’appliance Citrix ADC en tant que proxy
Configurez l’ADC en tant que proxy pour acheminer le trafic depuis le navigateur client vers Internet.
Se connecter à la console de gestion ADC
Accédez à la console de gestion Citrix ADC en entrant l’adresse IP publique de l’instance dans la barre de recherche de votre navigateur
Remarque :
Utilisez l’adresse IP de la machine que vous avez provisionnée dans les étapes précédentes, dans cet exemple
https://40.88.150.164/
Connectez-vous à la console en saisissant le nom d’utilisateur et le mot de passe que vous avez configurés lors des étapes précédentes
Dans l’écran de configuration initiale, cliquez surContinuer
Télécharger les licences
Accédez àSystème > Licences > Gérer les licences
Chargez les licences nécessaires pour ADC.
Remarque :
Les licences que vous apportez doivent prendre en charge les fonctionnalités mises en évidence dans les étapes 11 et 13 sous Configurer les fonctionnalités de base et configurer les fonctionnalités avancées (par exemple CNS_v3000_Server_plt_retail.lic et CNS_webf_sserver_retail.lic)
Redémarrezle serveur après avoir téléchargé les deux licences.
Après le redémarrage, connectez-vous à nouveau à la gestion
Accédez àSystème > Paramètres > Configurer les modes
Seules deux options doivent être activées letransfert basé sur Macet ladécouverte du MTU de chemin
Accédez àSystème > Paramètres > Configurer les fonctionnalités de base
Sélectionnez :
SSL Offloading
Load Balancing
,Rewrite
Authentication, Authorization, and Auditing
,Content Switching
, etIntegrated Caching
Accédez àSystème > Paramètres > Configurer les fonctionnalités avancées
Sélectionnez :
Cache Redirection
,IPv6 Protocol Translation
,AppFlow
,Reputation
,Forward Proxy
,Content Inspection
,Responder
,URL Filtering
, etSSL Interception
Configurer le serveur NTP
Accédez àSystème > Serveurs NTP > Ajouter
Créer un serveur par exemple
pool.ntp.org
Activer NTP lorsque vous y êtes invité et définissez le serveur sur activé
Enregistrer la configuration à partir de l’action d’enregistrement du portail de gestion
Ouvrez une session SSH à l’adresse de gestion ADC, connectez-vous avec les informations d’identification que vous avez utilisées lors du provisionnement de l’ADC à partir d’Azure
Configurer le profil TCP et vServer
Obtenir les étapes
virtualip
de la Section 2 et entrer dans la commande (dans cet exemple 10.1.0.5)Exécutez les commandes suivantes avec l’adresse
sslproxy
, par exemplevirtualip
:Pour ajouter un profil TCP :
add ns tcpProfile proxy-tcpprofile01 -dynamicReceiveBuffering ENABLED -KA ENABLED -mptcp ENABLED -mptcpDropDataOnPreEstSF ENABLED -mptcpSessionTimeout 360 -builtin MODIFIABLE
Pour ajouter un serveur virtuel
add cs vserver sslproxy01 PROXY 10.1.0.5 8080 -cltTimeout 360 -tcpProfileName proxy-tcpprofile01 -persistenceType NONE bind cs vserver sslproxy01 -lbvserver azurelbdnsvserver add netProfile proxy-netprofile01 -srcIP 10.1.0.5 -srcippersistency ENABLED -MBF ENABLED -proxyProtocol ENABLED -proxyProtocoltxversion V2 set cs vserver sslproxy01 -netProfile proxy-netprofile01 set ssl vserver sslproxy01 -sslProfile ns_default_ssl_profile_frontend save ns config
将修饰符莱斯paramètres du cache, revenez à la session de gestion sur le navigateur
Accédez àOptimisation > Mise en cache intégrée
Accédez àParamètres > Modifier les paramètres du cache
Définissezla limite d’utilisation de la mémoiresur
250 MB
et cliquez surOK
Configurer le client pour la redirection d’URL
Sur un client, par exemple Firefox
Configurer le proxy de votre navigateur pour
virtualip
, IP publique ou nom de domaine complet : 8080 que vous avez configuré dans la Section 2 (par exemple,urlredirection.eastus.cloudapp.azure.com:8080
)Maintenant que nous avons un ADC configuré, testez toute connectivité de site Web à partir du navigateur avec l’ADC agissant comme un proxy.
Section 4 : Configurer l’interception SSL
L’interception SSL utilise une stratégie qui spécifie le trafic à intercepter, bloquer ou autoriser. Citrix vous recommande de configurer une stratégie générique pour intercepter le trafic et des stratégies plus spécifiques pour contourner un certain trafic.
Références :
Exemple vidéo de configuration
Créer une clé RSA
Accédez àGestion du trafic > SSL > Fichiers SSL > Clés
SélectionnezCréer une clé RSA
Sélectionnez le nom du fichier de clé et la taille de clé requise
Une fois la clé créée, téléchargez le
.key
fichier pour une utilisation ultérieure
Créer une demande de signature de certificat (CSR)
Accédez àGestion du trafic > SSL > Fichiers SSL > CSR > Créer une demande de signature de certificat (CSR)
Nommez le fichier de requête, par exemple
semesec_req1.req
Cliquez sur Nom du继续教育文件>贴花le nom du fichier clé est celui créé à l’étape précédente, dans cet exemple
smesec_key1.key
Après avoir sélectionné la clé, continuez à remplir les espaces requis : Nom commun, Nom de l’organisation et État ou province
Cliquez sur Créer
Créer un certificat
Accédez àGestion du trafic > SSL > Fichiers SSL > Certificats > Créer un certificat
Donnez un nom au certificat et choisissez le fichier de demande de certificat (
.req
) et le nom de fichier de clé (.key
) créés lors des étapes précédentesCliquez sur Créer
Une fois le certificat créé, téléchargez le
.cert
fichier pour une utilisation ultérieure
Créer une stratégie SSL INTERCEPT
Accédez àGestion du trafic > SSL > Stratégies
Cliquez sur Ajouter.
Donnez un nom à la stratégie et sélectionnez l’action INTERCEPT
Expression pour intercepter les nouvelles :
client.ssl.detected_domain.url_categorize(0,0).category.eq("News")
Cliquez sur Créer
Pour lier la stratégie Interception au serveur virtuel, accédez àSécurité > Proxy de transfert SSL > Serveurs virtuels proxy
Sélectionnez le serveur virtuel, dans cet exemple
sslproxy01
SélectionnezAjouter des stratégies SSLet cliquez surAucune liaison de stratégie SSL.
Liez la stratégie d’interception :
Créer une stratégie de contournement SSL
Accédez àGestion du trafic > SSL > Stratégies
Cliquez sur Ajouter.
Donnez un nom à la stratégie et sélectionnez l’action NOOP - il n’y a pas d’option BYPASS, voir étape suivante
Expression pour contourner la stratégie :
CLIENT.SSL.DETECTED_DOMAIN.CONTAINS("cloud")
Accédez àSécurité > Proxy de transfert SSL > Stratégies d’interceptionSSL
Sélectionnez la stratégie pour la modifier
Changer l’action de NOOP à BYPASS
Cliquez sur OK
Vérifiez que l’action est maintenant BYPASS
Retournez àGestion du trafic > SSL > Stratégiespour vérifier la modification
Pour lier la stratégie de contournement au serveur virtuel, accédez àSécurité > Proxy de transfert SSL > Serveurs virtuels proxy
Double-cliquez sur le serveur virtuel, dans cet exemple
sslproxy01
SélectionnezAjouter des stratégies SSLet cliquez surLiaison de stratégie SSL.
Liez la stratégie de contournement > Ajouter
Cliquez sur Bind
Remarque :
Cette stratégie est créée pour contourner l’interception ADC pour le trafic vers un navigateur sécurisé
launch.cloud.com
Créer un profil SSL
Accédez àSystème > Profils > Profil SSL > Ajouter
Créez le profil en lui donnant un nom, dans cet exemple
smesec_swg_sslprofile
Cochez la case pour activer l’interception des sessions SSL, puis cliquez sur OK.
Cliquez sur OK pour créer un profil SSL.
Doit installer la paire de clés de certificat
Assurez-vous d’avoir un
.pfx
format de la paire de clés cert-clef avant. Reportez-vous à l’étape suivante pour obtenir des instructions sur la façon de générer un.pfx
fichier à partir des.key
fichiers.cert
et que vous avez précédemment téléchargés.
Préparer une paire de clés cert-clé
Commencez parinstaller l’outil SSL
Ajouter le chemin
openssl
d’installation aux variables d’environnement systèmeÀ partir de PowerShell, exécutez la commande :
openssl pkcs12 -export -out smesec_cert1.pfx -inkey smesec.key1.key -in smesec.cert1.cert
Lier un certificat d’autorité de certification d’interception SSL au profil SSL
Accédez àSystème > Profils > Profil SSL
Sélectionnez le profil créé précédemment
集团+氯é de certificat
Cliquez sur Installer
Choisissez le fichier .pfx préparé précédemment
Créez un mot de passe (vous en aurez besoin plus tard)
Cliquez sur Installer
Liez le profil SSL au serveur virtuel
Accédez àSécurité > Proxy de transfert SSL > Serveurs virtuels proxy
Sélectionnez le serveur virtuel, dans cet exemple
sslproxy01
Cliquez pour modifier le profil SSL
Choisissez le profil SSL créé précédemment, dans cet exemple
smesec_swg_sslprofile
Terminé
Section 5 : Configurer des stratégies et des actions de réécriture
Une stratégie de réécriture consiste en une règle et une action. La règle détermine le trafic sur lequel la réécriture est appliquée et l’action détermine l’action à entreprendre par Citrix ADC. La stratégie de réécriture est nécessaire pour que la redirection d’URL se produise vers Secure Browser en fonction de la catégorie de l’URL saisie dans le navigateur, dans cet exemple « Actualités ».
Créer une stratégie et une action de réécriture
Accédez àAppExpert > Reecrire >策略
Cliquez sur Ajouter.
Créez la stratégie en la nommant, cloud_pol dans cet exemple et utilisez l’expression :
HTTP.REQ.HOSTNAME.APPEND(HTTP.REQ.URL).URL_CATEGORIZE(0,0).CATEGORY.EQ("News")
Cliquez sur Créer
Créer l’action dans PuTTY
Exécutez la commande suivante :
add rewrite action cloud_act REPLACE_HTTP_RES q{"HTTP/1.1 302 Found" + "\r\n" + "Location: https://launch.cloud.com/
/ ?url=https://" + HTTP.REQ.HOSTNAME.APPEND(HTTP.REQ.URL.PATH) + "\r\n\r\n\" "} Remarque :
dans la commande remplacez
par votre nom de compte client Citrix Cloud et remplacez par
普勒德l 'application publiee安全浏览器r lequel la stratégie de paramètres d’URL est activée. Se référant à l’application publiée que vous avez créée dans la section 1.
Lier la stratégie de réécriture au serveur virtuel
Retour à la console de gestion ADC
Accédez àAppExpert > Reecrire >策略
Accédez à la stratégie cloud_pol et changez l’action en cloud_act (celle créée précédemment)
Pour choisir le type de stratégie de réécriture, accédez àSécurité > Proxy de transfert SSL > Serveurs virtuels proxy
Sélectionnez « + Stratégies »
Stratégie : Réécrire
Type : Réponse
Sélectionnez la stratégie créée, dans cet exemple
cloud_pol
Priorité : 10
Lier
Cliquez sur Terminé
Enregistrer la configuration
Lier la clé de certificat au profil
Accédez àSystème > Profils > Profil SSL
Sélectionnez le profil créé, par exemple
smesec_swg_sslprofile
Double-cliquez+ Clé de certificat
Sélectionnez la clé de certificat, par exemple
smesec_cert_overall
- Cliquez sur Sélectionner
- Cliquez sur Bind
- Cliquez sur Terminé
- Enregistrer la configuration
Importer le fichier de certificat dans le navigateur
Téléchargez le certificat dans firefox (par exemple avec les sites Web de la catégorie Nouvelles)
Accédez àOptionsdans votre navigateur de choix, Firefox dans cet exemple
Rechercher« certs » > cliquez sur « Afficher les certificats »
Dans la fenêtre Gestionnaire de certificats, cliquez sur « Importer… »
Recherchez votre certificat et cliquez sur Ouvrir,
smesec_cert1.cert
dans cet exempleSaisissez le mot de passe que vous avez créé lors de la création du certificat
Votre autorité de certification doit être installée correctement
Démo
Les sites Web d’actualité du navigateur local sont automatiquement redirigés vers Secure Browser. Voir ladémosuivante
Résumé
在ce指导de PoC,你们有appris配置r Citrix ADC dans Azure et à configurer SSL Forward Proxy et SSL Interception. Cette intégration permet la fourniture dynamique de ressources en redirigeant la navigation vers le Secure Browser Service. Ainsi, protéger le réseau de l’entreprise sans sacrifier l’expérience utilisateur.