Konfigurationsvejledning Udgave A. Tjenesten McAfee SaaS Web Protection 8.5.0

Transkript

1 Konfigurationsvejledning Udgave A Tjenesten McAfee SaaS Web Protection 8.5.0

2 COPYRIGHT Copyright 2016 McAfee, Inc., 2821 Mission College Boulevard, Santa Clara, CA 95054, USA, , VAREMÆRKETILSKRIVELSER Intel og Intel-logoet er registrerede varemærker tilhørende Intel Corporation i USA og/eller andre lande. McAfee og McAfee-logoet, McAfee Active Protection, McAfee DeepSAFE, epolicy Orchestrator, McAfee epo, McAfee EMM, McAfee Evader, Foundscore, Foundstone, Global Threat Intelligence, McAfee LiveSafe, Policy Lab, McAfee QuickClean, Safe Eyes, McAfee SECURE, McAfee Shredder, SiteAdvisor, McAfee Stinger, McAfee TechMaster, McAfee Total Protection, TrustedSource og VirusScan er registrerede varemærker eller varemærker tilhørende McAfee, Inc. eller McAfees datterselskaber i USA og andre lande. Andre navne og varemærker kan tilhøre andre ejere. LICENSOPLYSNINGER Licensaftale MEDDELELSE TIL ALLE BRUGERE: LÆS OMHYGGELIGT DEN JURIDISKE AFTALE, DER SVARER TIL DEN LICENS, DU HAR KØBT, DA DEN ANGIVER DE GENERELLE VILKÅR OG BETINGELSER FOR BRUGEN AF DEN SOFTWARE, DER ER GIVET LICENS TIL. HVIS DU IKKE ER BEKENDT MED, HVILKEN TYPE LICENS DU HAR ANSKAFFET, BEDES DU GENNEMGÅ SALGSDOKUMENTATIONEN OG DOKUMENTATIONEN MED RELATION TIL LICENSTILLADELSEN ELLER KØBSORDREN, DER FULGTE MED SOFTWAREPAKKEN, ELLER SOM DU MODTOG SÆRSKILT SOM EN DEL AF KØBET (I FORM AF ET HÆFTE, EN FIL PÅ PRODUKT-CD'EN ELLER EN FIL, DER ER TILGÆNGELIG PÅ DET WEBSTED, HVORFRA DU HENTEDE SOFTWAREPAKKEN). UNDLAD AT INSTALLERE SOFTWAREN, HVIS DU IKKE ER INDFORSTÅET MED ALLE VILKÅRENE I AFTALEN. HVIS DET ER RELEVANT, KAN DU RETURNERE PRODUKTET TIL MCAFEE ELLER KØBSSTEDET TIL FULD REFUNDERING. 2 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

3 Indhold 1 Introduktion 5 Betingelser Konfiguration af SaaS Web Protection Service 7 Fastsættelse af Web Protection-godkendelse Tilføjelse af brugere til Kontoadministration (eksplicit brugergodkendelse eller transparent godkendelse) Tilføjelse af brugeroplysninger for McAfee Client Proxy WDS Connector (transparent godkendelse) Sådan hentes WDS Connector Proxykonfiguration 11 Konfiguration af en statisk proxyindstilling i din browser Metoder til proxykonfiguration Automatisk konfiguration af Mozilla.cfg-filen via et login-script Oprettelse af en Proxy Automatic Configuration- eller Web Proxy Auto-Detect-fil Konfiguration af WPAD Konfiguration af DNS til et WPAD-script Konfiguration af en webserver til at bruge en PAC- eller WPAD-fil Eksempel på en WPAD- eller PAC-basisfil Almindelige konfigurationsproblemer 21 Kontrol af en hardcoded proxyindstilling først Kontrol af, at alle konfigurationer står med små bogstaver Konfiguration af politiksæt 25 Efterforskning Optimering af WDS Connector til større installationer 27 Konfiguration af proxyen til et stort antal klienter Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 3

4 Indhold 4 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

5 1 1 Introduktion McAfee SaaS Web Protection Service leverer realtidsbeskyttelse mod internettrusler og upassende indhold ved netværksperimeteren, før de kan trænge ind på det interne netværk. Browsertrafikken for brugere omdirigeres til SaaS Web Protection Service. Når de enkelte anmodninger om webindhold modtages, kontrollerer SaaS Web Protection Service indholdet i forhold til definerede politikker og, hvis funktionen er aktiveret, kontrolleres der også for kendte orme og virus. Kun det indhold, som ikke overtræder disse politikker og er fri for kendte trusler, returneres til brugeren. Du kan aktivere eller deaktivere specifikke politikker for webindhold i Control Console, den omfattende grafiske brugergrænseflade til SaaS Web Protection Service. Betingelser Efter definition af dine webfiltreringspolitikker via Control Console vil Web Protection omdirigere virksomhedens webtrafik til en proxyserver for at starte beskyttelsesfunktionerne. Følgende skal gennemføres før brug af Web Protection Service: Tilmelding til Web Protection Opret en kunde Opret et domæne Du bør overveje at implementere funktionen Directory Integration i Kontoadministration, inden du bruger WDS Connector. På denne måde øger du markant sandsynligheden for at brugermailadresser i Active Directory matcher mailadresserne i Control Console. Der er oplysninger om understøttede miljøer til Web Protection i de seneste produktbemærkninger. Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 5

6 1 Introduktion Betingelser 6 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

7 2 Konfiguration 2 af SaaS Web Protection Service Med SaaS Web Protection Service (Web Protection) stoppes trusler, før de når virksomhedsnetværket. Når filtreringspolitikkerne for Web Protection er angivet, skal al webtrafik omdirigeres til en proxyserver, og beskyttelsen er dermed aktiv. Slutbrugerens websessioner filtreres også systematisk af Web Protection for at blokere virus og spyware, før de når netværket, hvis beskyttelse mod trusler er inkluderet. Indhold Fastsættelse af Web Protection-godkendelse Tilføjelse af brugere til Kontoadministration (eksplicit brugergodkendelse eller transparent godkendelse) Tilføjelse af brugeroplysninger for McAfee Client Proxy WDS Connector (transparent godkendelse) Fastsættelse af Web Protection-godkendelse I vinduet Adgangskontrol kan du definere, hvordan brugere godkendes, når de går på internettet. For eksempel kan du registrere en liste over accepterede IP-adresser for din organisation. Vælg en af de fire medfølgende funktioner, der giver adgang til Web Protection-systemet: Mere end én godkendelse kan bruges hvis nødvendigt. Godkendelse af IP-adresseområdet Fordele: Bruger-login ikke nødvendigt Ingen adgangskoder, der skal vedligeholdes for brugerne Ingen software, der skal installeres Kan installeres på kanten af netværket med routing Ulemper: Gruppepolitikker kan ikke anvendes (alle brugere har én politik) Ingen individuel rapportering, da al rapportering grupperes af den eksterne IP-adresse Eksplicit brugergodkendelse Fordele: Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 7

8 2 Konfiguration af SaaS Web Protection Service Fastsættelse af Web Protection-godkendelse Gruppepolitikker kan anvendes (forskellige brugere kan have forskellige politikker) Individuel rapportering på en pr. bruger-basis Ingen software, der skal installeres Ulemper: Kræver, at brugeren skal logge på ved hver browsersession Adgangskoder skal vedligeholdes og/eller godkendes på en virksomhedsserver Transparent godkendelse (WDS Connector) Ved brug af en WDS Connector findes der adskillige anbefalede fremgangsmåder. I de fleste tilfælde anbefaler McAfee, at WDS Connector er på en dedikeret server. Selvom det ikke er et krav for mindre kunder, minimerer en dedikeret server risikoen for, at andre processer vil forstyrre WDS Connector. McAfee anbefaler at afinstallere eller deaktivere ikke-essentiel software på den server, hvor WDS Connector er installeret. Fordele: Bruger-login ikke nødvendigt Ingen vedligeholdelse af adgangskoder for brugere i Web Protection-systemet Gruppepolitikker kan anvendes (forskellige brugere kan have forskellige politikker) Individuel rapportering på en pr. bruger-basis Ulemper: Det er nødvendigt at installere software på virksomhedsinfrastrukturen Active Directory og NTLM-godkendelse kræves for at kunne genkende brugere Det er nødvendigt, at hver bruger har en mailadresse i Active Directory, der matcher en tilsvarende mailadresse i Control Console Det er nødvendigt, at brugere logger på domænet interaktivt Det er nødvendigt at route al browsertrafik igennem WDS Connector McAfee Client Proxy (MCP) McAfee Client Proxy er en Windows-agent, der uden problemer omdirigerer HTTP- og HTTPS-trafik til SaaS Web Protection-servere. McAfee Client Proxy kan konfigureres til: Altid at omdirigere, så der opnås konstant beskyttelse fra skyen At omdirigere, når brugeren ikke er på virksomhedens netværk, så der opnås roaming-beskyttelse McAfee Client Proxy videresender krypteret information om den individuelle bruger, gruppemedlemskab for brugerne og kundekontoer til skyen. Systemet identificerer automatisk brugeren, gruppen eller kunden, så den rette politik kan anvendes. Fordele: Bruger-login ikke nødvendigt Ingen vedligeholdelse af adgangskoder for brugere i Web Protection-systemet Gruppepolitikker kan anvendes (forskellige brugere kan have forskellige politikker) 8 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

9 Konfiguration af SaaS Web Protection Service Tilføjelse af brugere til Kontoadministration (eksplicit brugergodkendelse eller transparent godkendelse) 2 Individuel rapportering på en pr. bruger-basis Kan konfigureres til at forhindre deaktivering af agenten Virker på netværksniveau for alle browsere og alle HTTP- eller HTTPS-anmodninger Ulemper: Understøttes kun af Windows Kræver installation på slutpunktet (stationær eller bærbar computer) Fås kun på engelsk Tilføjelse af brugere til Kontoadministration (eksplicit brugergodkendelse eller transparent godkendelse) Kontoadministration er et sæt administrative skærme, som du kan bruge til at konfigurere og administrere objekterne i Web Protection Service. Dette er en indstilling for McAfee Client Proxy. Disse objekter inkluderer: Domæner Brugere Andre administratorer, inklusive kundeadministratorer, domæneadministratorer, karantæneadministratorer og rapportadministratorer Desuden kan du bruge Kontoadministration til at administrere grupper af brugere, som har en fælles mailfiltreringspolitik. Hent administrationsvejledningen til Kontoadministration, og følg instruktionerne for at angive de brugere, der vil bruge Web Protection Services. 1 Gå til 2 Log på, hvis det er nødvendigt. 3 Klik på Referencemateriale. 4 Klik på administrationsvejledningen til Kontoadministration. Tilføjelse af brugeroplysninger for McAfee Client Proxy McAfee Client Proxy kan anvendes uden at definere brugernavne. Med Control Console forbindes brugernavne med oplysninger om Windows-domæne/brugernavn fra McAfee Client Proxy. Control Console indeholder et hjælpeprogram til at knytte brugernavne til de oprettede mailbrugere. Opgave 1 Start Web Protection Politikker McAfee Client Proxy-politikker. 2 Klik på MCP hjælpeprogram til brugeridentifikation Med dette hjælpeprogram knyttes brugernavne i Active Directory automatisk til mailkontoer i Control Console. Hvis der ikke findes nogen oplysninger om brugernavne, bruges gruppe- eller kundespecifikke oplysninger til at bestemme politikken for filtrering i McAfee Client Proxy-hjælpeprogrammet. Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 9

10 2 Konfiguration af SaaS Web Protection Service WDS Connector (transparent godkendelse) WDS Connector (transparent godkendelse) WDS Connector SM, som er en udvidelse til SaaS Web Protection Service (Web Protection), giver brugere adgang til internettet via Web Protection med eksisterende lokale legitimationsoplysninger for netværksdomæner. Med denne funktion, der sommetider kaldes for transparent godkendelse, elimineres behovet for, at en bruger godkendes af Web Protection, hver gang han/hun åbner en browser. I stedet godkendes brugeren automatisk af Web Protection, når han/hun åbner en browser. Administratorer af Web Protection-tjenesten kan stadig anvende gruppepolitikker for brugere samt registrere individuel internetbrug, trusler og så videre. Sådan hentes WDS Connector Hent WDS Connector-softwaren, så du kan installere softwaren og begynde at bruge WDS Connector. Opgave 1 Klik på fanen Webbeskyttelse Opsætning. 2 Klik på linket WDS Connector. 3 Klik på Hent WDS Connector for at hente og installere WDS Connector-softwaren. Hvis du har åbnet Control Console fra den Windows-server, som du bruger som WDS Connector-proxyserver, kan du køre installationen af softwaren, når du har hentet den. I så fald skal du klikke på Kør, når installationsvinduet vises. Hvis du åbner Control Console fra en anden computer end WDS Connector-proxyserveren, skal du første gemme softwaren på et USB-drev, en cd eller et andet medie, overføre softwaren til WDS Connector-proxyserveren og derefter installere softwaren. 10 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

11 3 Proxykonfiguration 3 Efter konfiguration af Web Protection er du nødt til at konfigurere dine klienter til at bruge proxyen. Der er fire primære måder at gøre dette på: Konfigurer klienterne manuelt til at pege på Web Protection og/eller WDS Connector ved hjælp af proxyindstillingerne for Internet Explorer eller Firefox. Dette er en effektiv måde at låse computerne til at pege på Web Protection. Det største problem med denne konfiguration er dog, at den ikke er særlig fleksibel, så den anbefales derfor kun til mindre organisationer eller organisationer, hvor størstedelen af brugerne anvender stationære computere og ikke bærbare computere. Desuden åbner konfigurationen af de lokale computere op for muligheden for, at brugeren vil nulstille konfigurationen, når it-medarbejderen vender ryggen til. Det diskuteres også, hvordan Internet Explorer og Firefox låses, så brugeren ikke let kan ændre eller fjerne proxyindstillingerne. Brug en PAC-fil (Proxy Auto Configuration) til at scripte, hvordan en bruges browser finder og bruger webproxyer på dit netværk. Manuel konfiguration af klienter til at være hardcoded til en proxy er yderst problematisk for brugere med en bærbar computer, da proxyen ikke er tilgængelig, medmindre de bruger virksomhedens netværk, enten via en kabelforbindelse eller VPN. Du kan bruge en PAC-fil til at udbedre dette problem ved at kontrollere, hvor browseren henter proxyinformation og muligvis ignorere proxyen og gå direkte på internettet, når proxyen ikke kan findes. En anden fordel ved at bruge PAC-filer er, at du kan definere, hvad der skal underkastes proxy, og hvad der ikke skal. Mens almindelig websøgning for eksempel typisk bedst sendes igennem Web Protection, ønsker du måske ikke, at dine kritiske webbaserede applikationer skal sendes via en proxy. Med en PAC-fil kan du tilføje intelligente funktioner for, hvordan brugerens browser dirigerer trafik. Med WPAD (Web Proxy Auto-Detect Protocol) er kun mindre eller ingen ændringer nødvendige på klienten, og i stedet bruger browseren indstillingen Automatisk registrering til at lede efter din konfigurationsfil på en webserver. Hvis den ikke kan finde WPAD-indstillingerne eller serveren, tilpasser browseren sig hurtigt og går direkte på internettet. Denne indstilling er klart den letteste for klienten, men den er mere kompliceret for systemadministratoren, da den inkluderer konfiguration af web-, DHCP- og DNS-servere Heldigvis er formatet for WPAD.DAT-filen identisk med PAC-filen og vi giver i denne sektion eksempler, som du kan kopiere og sætte ind efter behov. Hvis du bruger McAfee Client Proxy, er konfigurationspolitikken for McAfee Client Proxy afgørende for, hvordan og hvortil trafik omdirigeres. Der er flere oplysninger i McAfee Client Proxy-dokumentationen på Control Console under Webbeskyttelse Opsætning McAfee Client Proxy. Opgaver Konfiguration af en statisk proxyindstilling i din browser på side 12 Hardcoding af indstillingerne for Internet Explorer eller Firefox fungerer fint for mindre organisationer og organisationer, hvor størstedelen af computerne er stationære. Denne indstilling fungerer imidlertid ikke så godt for brugere med bærbare computere, som både arbejder lokalt og ude, da de ikke vil have adgang til internettet, hvis de ikke kan nå proxyserveren. Der er heller ikke nogen intelligent routing eller failover, hvis proxyen ikke kan nås. Indhold Konfiguration af en statisk proxyindstilling i din browser Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 11

12 3 Proxykonfiguration Konfiguration af en statisk proxyindstilling i din browser Metoder til proxykonfiguration Konfiguration af en statisk proxyindstilling i din browser Hardcoding af indstillingerne for Internet Explorer eller Firefox fungerer fint for mindre organisationer og organisationer, hvor størstedelen af computerne er stationære. Denne indstilling fungerer imidlertid ikke så godt for brugere med bærbare computere, som både arbejder lokalt og ude, da de ikke vil have adgang til internettet, hvis de ikke kan nå proxyserveren. Der er heller ikke nogen intelligent routing eller failover, hvis proxyen ikke kan nås. Før du starter Med denne konfiguration antages det, at klienten og serveren ikke er konfigureret til at blokere port 3128 og/eller port Opgave 1 Start Internet Explorer. 2 Klik Funktioner Indstillinger. 3 Klik på fanen Forbindelser. 4 Klik på LAN-indstillinger. 5 Vælg Brug en proxyserver til LAN. Hvis du bruger WDS Connector: a Indtast det fulde domænenavn (foretrukket) eller DNS-servernavnet, der kan fortolkes, for den server, hvor WDS Connector er installeret. b Indtast 3128 i feltet Port. 6 Indtast den proxypost, som er angivet i det Activation Kit, som du modtog fra klargøringsafdelingen. 7 Indtast 8080 i feltet Port. 8 Vælg Brug ikke proxyserver til lokale adresser. Når du er færdig, bør proxyserveren se ud som følgende eksempel: Hvor proxyserver er navnet på den server, du installerede i WDS Connector. McAfee anbefaler at bruge et fuldt domænenavn som f.eks. proxyserver.yourdomain.com i stedet blot et servernavn. 9 Klik på fanen Forbindelser. Hvis du har poster i Indstillinger for opkalds- og VPN-forbindelser, skal du også konfigurere posterne for proxyen. a Vælg den VPN-indstilling, du ønsker at konfigurere, og klik på Indstillinger. b Vælg Brug en proxyserver til denne forbindelse. 10 Hvis du bruger WDS Connector: a Indtast det fulde domænenavn (foretrukket) eller DNS-servernavnet, der kan fortolkes, for den server, hvor WDS Connector er installeret. b Indtast 3128 i feltet Port. 12 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

13 Proxykonfiguration Metoder til proxykonfiguration 3 11 Hvis du ikke bruger WDS Connector, anbefaler McAfee, at du vælger Brug ikke proxyserver til lokale adresser. Indtast den proxy, som er angivet i dit Activation Kit. 12 Indtast port 8080 i feltet Port. Metoder til proxykonfiguration Du kan bruge en PAC-fil eller et WPAD-script til at konfigurere proxyer for slutbrugernes computere i din organisation. I et Windows-miljø kan du konfigurere en gruppepolitik, som bevirker, at proxykonfigurationen anvendes på alle slutbrugeres computere. Du kan finde flere oplysninger om funktionen til gruppepolitikker i Microsoft-dokumentationen til din Windows-version. Automatisk konfiguration af Mozilla.cfg-filen via et login-script Dette er en af de mange måder, du kan vælge at levere denne fil og redigere all.js-filen via et login-script. Med login-scriptet kontrolleres det først, om Firefox er installeret, og derefter ledes der efter Mozilla.cfg-filen. Hvis Firefox er installeret, men Mozilla.cfg-filen ikke findes, indsættes filen, og all.js-filen redigeres ved at tilføje en ny linje og derefter tilføje pref-kommandoen til all.js-filen, så den ved, at den skal gå til Mozilla.cfg-filen. Alt, som dette script gør, skrives i en logfil, så du kender alle detaljerne om, hvorvidt installationen lykkedes. Dette påvirker ikke brugeren. Næste gang han/hun lukker og åbner browseren, låses de til din proxy-konfiguration. Opgave 1 Kopiér Mozilla.cfg-filen til et delt drev, som alle brugere har adgang til på dit netværk (skrivebeskyttet). 2 Rediger dit login-script som følger: Husk at ændre \\server\share til dit server- og sharenavn. :: Firefox Proxy Config file drop and all.js adjustment GOTO Check :Check :: First check to see if Firefox is installed, then see if the config file is there IF NOT EXIST "C: \Program Files\Mozilla Firefox" GOTO Lognofirefox IF NOT EXIST "C:\Program Files\Mozilla Firefox\mozilla.cfg" GOTO Update IF NOT EXIST "C:\Program Files\Mozilla Firefox\mozilla.cfg" GOTO Update GOTO Logalreadyinstalled GOTO End :Update :: Drop the config file and adjust all.js copy \\server\share\mozilla.cfg C:\Program Files\Mozilla Firefox :: ::C reate a new line at the bottom of the all.js file ECHO. >> "C:\Program Files\Mozilla Firefox\greprefs\all.js" :: ::Add a pref to point to the new CFG file to the end of all.js ECHO pref(general.config.filename, mozilla.cfg); >> C:\Program Files\Mozilla Firefox \greprefs\all.js GOTO Loginstalled :Lognofirefox Echo %date% %time% user %username% on %computername% does not have FireFox installed >> \\server\share \log.txt GOTO End :Logalreadyinstalled Echo %date% %time% user %username% on %computername% already has mozilla.cfg downloaded >> \\server\share\log.txt GOTO End :Loginstalled Echo %date% %time% user %username% on %computername% SUCCESS!! FireFox Proxy installed! >> \\server\share\log.txt GOTO End :End ::All done! Afprøv altid login-scriptet på en eller to computere, før det tages i brug. Placer Mozilla.cfg-filen manuelt på computere, du ikke ønsker at låse, men opdater ikke all.js-filen. På den måde vil scriptet ignorere den computer og antage, at den allerede er opdateret. Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 13

14 3 Proxykonfiguration Metoder til proxykonfiguration Oprettelse af en Proxy Automatic Configuration- eller Web Proxy Auto-Detect-fil En PAC-fil (Proxy Automatic Configuration) og en WPAD-fil (Web Proxy Auto-Detect) er begge enkle filer, der opbevares på en intern webserver, som bruger JavaScript til at fortælle browseren, hvad den skal gøre, før den forsøger at indlæse en hjemmeside. Fordelen ved PAC- og WPAD-filer er, at de kan bruges til at føje intelligente funktioner til din proxykonfiguration, så den kan justeres, når computeren ikke er tilsluttet dit netværk, eller når proxyen er nede. Du kan også bestemme, hvilke sider der skal og ikke skal udsættes for proxy, således at virksomhedskritiske hjemmesider aldrig påvirkes af proxyen. Konfiguration af WPAD Når du bruger Web Proxy Auto-Detect Protocol, vil browseren først anmode DHCP om placeringen af din wpad.dat-filinformation. Hvis den ikke kan finde det i DHCP, vil den gå til DNS, før den prøver internettet. Du er nødt til at konfigurere DHCP-serveren, så den giver denne information. Tilføj Indstilling 252 til DHCP Opgave 1 Vælg Start Programmer Administrationsværktøjer DHCP på den server, der kører DHCP (eller bruger MMC på din computer). 2 Højreklik på den DHCP-server, du vil redigere, og vælg Angiv foruddefinerede indstillinger. 3 Find 252. Hvis den ikke findes: a Klik på Tilføj for at tilføje en ny indstilling. b I feltet Indstillingsnavn skal du skrive WPAD. c I feltet Kode skal du skrive 252. d Indtast den valgte streng i datafeltet, og klik på OK. 4 Vælg 252 WPAD i rullelisten Indstillingsnavn. 5 I feltet Streng skal du skrive Hvor mywebserver er navnet på den webserver, som indeholder din wpad.dat-konfigurationsfil. Denne streng skal stå med små bogstaver. 6 Klik på OK. Når du har foretaget denne ændring, vil denne WPAD-information udgives sammen med hver ny IP-adresse. Så sørg for, at den er angivet korrekt på DHCP-serveren, at scriptet er funktionelt, og sørg også for at frigive/forny din IP-adresse, så du kan afprøve den, efter du har klikke på OK. Nu hvor du har gennemført trinet ovenfor, hvor du føjede Indstilling 252 til din DHCP-server, kan du indstille dette for hele din DHCP-server, et begrænset interval, eller begge. 7 Højreklik på Serverindstillinger, og vælg Konfigurer indstillinger. Dette trin skal skrives med små bogstaver. 8 Vælg Indstilling 252 Sørg for, at den har den rette webserverinformation, port og filnavn. Dette skal skrives med små bogstaver. 14 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

15 Proxykonfiguration Metoder til proxykonfiguration 3 9 Klik på OK. 10 Åbn det aktuelle interval. 11 Højreklik på Intervalindstillinger, og klik på Konfigurer indstillinger. 12 Vælg Indstilling Udfyld servernavnet med navnet på din webserver, port og wpad.dat-fil. Disse poster skal skrives med små bogstaver. 14 Klik på OK. Konfiguration af DNS til et WPAD-script Internet Explorer går til DHCP-indstilling 252, hvis knappen Automatisk registrering er aktiveret, så du vil måske undre dig over, hvorfor det anbefales også at foretage denne ændring for DNS. Der er adskillige grunde til, at det er en god ide at gøre dette: Du ønsker, at din proxykonfigurationsfil skal virke på maskiner med en statisk IP-adresse. Du har andre browsere, hvor en DNS-post fungerer bedre end DHCP, som f.eks. Firefox. Du er bekymret for, at din indstilling for Automatisk registrering vil tvinge browseren til at lede, indtil den finder en konfigurationsfil, muligvis i det forkerte domæne. Hvis du for eksempel har aktiveret indstillingen Automatisk registrering af proxy i din browser, men din browser ikke kan finde wpad.dat-filen for dallas.mydomain.com, vil den søge efter wpad-information på wpad.mydomain.com og derefter wpad.com, før den giver op. Skulle den finde det, vil den køre det fundne script i ethvert af disse domæner, og udgør derved et klart sikkerheds- og konfigurationsproblem. Det antages, at du ønsker at angive WPAD-information for dit lokale domæne. Så hvis dit lokale domæne er mydomain.info, ville du redigere DNS-serveren for mydomain.info og tilføje en cname-post kaldet WPAD, som peger på webserveren med filen. Opgave 1 Start DNS i MMC ved at gå til de administrative værktøjer på domænecontrolleren for din DNS. 2 Åbn Videresend opslagszoner. 3 Højreklik på din opslagszone til videresendelse, og vælg Nyt alias (CNAME). 4 Indtast WPAD i feltet Alias. 5 Indtast det fulde domænenavn på serveren med din WPAD-fil. 6 Klik på OK. 7 Klik på OK. Afprøv konfigurationen ved at aktivere indstillingen Automatisk registrering i Internet Explorer. Når din browser finder en side kaldet wpad.yourdomain.com, opdateres din proxyinformation automatisk. 8 Når du har gennemført nedenstående instruktioner til konfiguration af DNS og DHCP, skal du konfigurere din browser til automatisk at registrere proxyindstillinger. a Start Internet Explorer. b Vælg Funktioner Indstillinger.. Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 15

16 3 Proxykonfiguration Metoder til proxykonfiguration c d e Klik på fanen Forbindelser. Vælg LAN-indstillinger, hvis der er tilslutning til netværket. Vælg Automatisk registrering af indstillinger. Konfiguration af en webserver til at bruge en PAC- eller WPADfil For at bruge en PAC- eller WPAD-fil til at konfigurere dine proxyer, er du nødt til at konfigurere adskillige ting på dit netværk. Før du starter PAC-filen er meget mere enkel end WPAD-konfigurationen, da du med PAC-filen fortæller din browser, hvor filen findes, og blot behøver at placere den i roden på en webserver og fortælle serveren, hvordan den indlæses. Med WPAD-konfiguration bruges DHCP og DNS til at regne ud, hvor filen er, når brugerens browser er sat til Automatisk registrering af indstillinger, så du er nødt til at placere filen på en webserver og opdatere DHCP og DNS, så browseren ved, hvor den skal lede efter den. PAC- og WPAD-filen skal placeres på en webserver. Det anbefales kraftigt at bruge en intern webserver i stedet for en internetserver. Det anbefales også at skrivebeskytte filen for at forhindre en hacker i at omdirigere din internettrafik til deres spyware-side. På advisory/ mspx er der flere oplysninger om mulige sikkerhedsproblemer ved brug af en PAC-fil eller WPAD-protokol. Opgave 1 Kopiér din proxy.pac-fil til rodmappen på din webserver. Dette skal være rodmappen Dette skal være den virtuelle standardserver eller aktive virtuelle server Filnavnet skal skrives med små bogstaver 2 Føj en MIME-post til din webservers konfiguration, så den ved, hvordan filen skal åbnes. 3 Åbn IIS Manager på webserveren. 4 Højreklik på hjemmesiden for at tilføje en MIME-type. 5 Klik på Egenskaber. 6 Klik på MIME Type på fanen HTTP-headere. 7 Klik på Ny. 8 Indtast følgende filtypenavn i feltet Filtype: pac a b Indtast følgende i feltet Mime-typer: application/x javascript config Klik på OK, og genstart IIS Service (når det passer dig, afhængigt af hvad denne webserver ellers foretager sig). Opgaver Konfiguration af webservere til Apache version 2.x på side 17 Gennemfør følgende trin for at konfigurere webservere til Apache 1.x. Konfiguration af webbrowsere til Apache version 2.x på side 18 Gennemfør følgende trin for at konfigurere webservere til Apache 2.x. 16 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

17 Proxykonfiguration Metoder til proxykonfiguration 3 Konfiguration af webservere til Apache version 2.x Gennemfør følgende trin for at konfigurere webservere til Apache 1.x. Opgave 1 Rediger /etc/apache/httpd.conf 2 Tilføj AddType application/x javascript config pac 3 Rediger /etc/apache2/mods-available/mime.conf. 4 Tilføj AddType application/x javascript config pac Genstart Apache Web Server (når det passer dig, afhængigt af hvad denne webserver ellers foretager sig). 5 Afprøv konfigurationen ved at åbne Hvis din webbrowser spørger dig, hvordan du ønsker at åbne proxy.pac-filen, har du udført dette trin korrekt. Konfigurer din browser til at pege på proxy.pac-filen i Internet Explorer ved at gøre følgende: a Klik på Funktioner Indstillinger. b c d Klik på fanen Forbindelser. Klik på LAN-indstillinger, hvis der er tilslutning til et netværk, og vælg indstillinger til konfiguration af VPN. Indtast din webservers URL-adresse i feltet Script til automatisk konfiguration. Konfiguration af webserveren til en WPAD.DAT-fil: 6 Kopiér wpad.dat-filen til rodmappen på din webserver. a Dette skal være rodmappen, ikke et underordnet websted eller en undermappe. b c Dette skal være den virtuelle standardserver eller aktive virtuelle server. Dette SKAL være et filnavn med små bogstaver, ellers vil WPAD.dat ikke virke, men wpad.dat vil. 7 Føj en MIME-post til din webservers konfiguration, så den ved, hvordan filen skal åbnes. 8 Åbn IIS Manager på webserveren. 9 Højreklik på den ønskede hjemmeside for at tilføje en MIME-type. 10 Klik på Egenskaber. 11 Klik på MIME-typer på fanen HTTP-header. 12 Klik på Ny. 13 Indtast følgende filtypenavn i feltet Filtype: pac. a Indtast følgende i feltet Mime-type: application/x-javascript-config. b Klik på OK, og genstart så IIS Service (når det passer dig, afhængigt af hvad denne webserver ellers foretager sig). Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 17

18 3 Proxykonfiguration Metoder til proxykonfiguration Konfiguration af webbrowsere til Apache version 2.x Gennemfør følgende trin for at konfigurere webservere til Apache 2.x. Opgave 1 Rediger /etc/apache2/mods available/mime.conf 2 Tilføj følgende linje: (dat for wpad, pac for.pac) a Tilføj Type application/x-javascript-config dat b Genstart Apache Web Server (når det passer dig, afhængigt af hvad denne webserver ellers foretager sig). 3 Afprøv konfigurationen ved at åbne i din internetbrowser. Hvis din webbrowser spørger dig, hvordan du ønsker at åbne wpad.dat (for eksempel med Notesblok), har du udført dette trin korrekt. 4 Når du har gennemført nedenstående instruktioner til konfiguration af DNS og DHCP, skal du konfigurere din browser til automatisk at registrere proxyindstillinger. a Start Internet Explorer. b c d e Vælg Funktioner Indstillinger. Klik på fanen Forbindelser. Klik på LAN-indstillinger, hvis der er tilslutning til netværket. Vælg Automatisk registrering af indstillinger. Eksempel på en WPAD- eller PAC-basisfil Følgende er et eksempel på en PAC- eller WPAD-basisfil. Eksempel på en WPAD- eller PAC-fil function FindProxyForURL(url, host) { return "PROXY proxyserver.example.com:3128 } Såfremt din Internet Information Server eller Apache Web Server og Internet Explorer er konfigureret korrekt (det kommer vi til nedenfor), vil din browser køre dette script og vide, at den skal lede efter proxyserveren på port 3128, når den forsøger at indlæse en hjemmeside. Hvis den ikke kan finde den, vil den sende browseren direkte på internettet. Dette var et ret enkelt eksempel. Hvad nu, hvis du ønskede, at din proxyfil ignorerede dit lokale netværk og din lokale computer? WPAD- eller PAC-fil uden proxy for den lokale vært eller det lokale netværk function FindProxyForURL(url, host) { function FindProxyForURL(url, host) { if ( isplainhostname(host) localhostordomainis(host, " ") isinnet(host, " ", " ")) return "DIRECT"; else return ""PROXY proxyserver.example.com:3128"; } Hvis du ønsker at konfigurere din PAC-fil til at ignorere specifikke hjemmesider, ville du tilføje shexpmatch(url, Se følgende eksempel. WPAD- eller PAC-fil, der ignorerer specifikke hjemmesider function FindProxyForURL(url, host) { if ( isplainhostname(host) localhostordomainis(host, " ") isinnet(host, ", " ) shexpmatch(url, "*.yourcompanyname.*")) // Don t proxy mxlogic.* return DIRECT; else return ""PROXY proxyserver.example.com: 3128"; } 18 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

19 Proxykonfiguration Metoder til proxykonfiguration 3 Endeligt kan du hvis du ønsker at konfigurere din proxyserver til at fungere mere intelligent vedrørende, hvad den skal gøre, hvis den ikke kan finde proxyen angive flere proxyer eller blot indstille den til gå direkte på internettet.. else return PROXY proxyserver.example.com:3128; proxy domain.com.web02.mxlogic.net:8080; DIRECT; } I dette eksempel indstiller vi browseren til at prøve en lokal proxy. Hvis det ikke lykkes, skal den forsøge at gå direkte til McAfee for at udføre proxyfunktionen. Hvis det ikke lykkes, skal den gå direkte på internettet. Der findes mange forskellige indstillinger, du kan bruge i dine PAC- og WPAD-filer. Microsoft Technet har en hel del i deres artikel på Der findes også meget information om forskellige indstillinger for PAC- og WPAD-filer her: jcurnow.home.comcast.net/~jcurnow/writingeffectivepacfiles.html Andre overvejelser Det er vigtigt at huske, at Internet Explorer ikke giver nogen fejlsøgning for PAC- eller WPAD-filer. Hvis du mangler en klamme, parentes eller har indtastet en kommando forkert, vil din browser ikke fortælle dig det, men blot gå direkte på internettet. Så når du opretter din PAC-fil, kan en manglende proxy (hvis du allerede har bekræftet, at en direkte forbindelse til din proxy virker) betyde, at der er en fejl i dit script. Bemærk også, at browseren måske vil cachelagre denne fil lokalt, så ændringer i PAC- eller WPAD-filen på serveren vil måske ikke resultere i ændringer på klienten, før de genstarter deres proxykonfiguration i Internet Explorer eller Firefox. Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 19

20 3 Proxykonfiguration Metoder til proxykonfiguration 20 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

21 4 Almindelige 4 konfigurationsproblemer For at fastslå hvad der er galt med din proxykonfiguration, skal du indtaste dit servernavn og din port manuelt i Internet Explorer eller Firefoxs proxykonfiguration, lukke og åbne browseren og så prøve at åbne en hjemmeside. Indhold Kontrol af en hardcoded proxyindstilling først Kontrol af, at alle konfigurationer står med små bogstaver Kontrol af en hardcoded proxyindstilling først Hvis du kan åbne en hjemmeside, betyder det, at proxyen virkede. Hvis du kan åbne endoftime.mcafee.com og får en Web Protection-fejlmeddelelse om, at siden ikke blev fundet, betyder det, at du bliver filtreret af tjenesten. Hvis du ikke kan åbne en hjemmeside, ved du, at din proxyserver har et problem. Hvis du kan åbne en hjemmeside, men ikke bliver filtreret, så er et script eller en anden automatisk konfiguration beskadiget. Kontrol af, at alle konfigurationer står med små bogstaver Som nævnt i flere afsnit ovenfor kræver adskillige konfigurationer for DNS, DHCP og filnavnet for din wpad.dat-fil små bogstaver på de fleste systemer. Tjek disse områder grundigt. Manglende fejlsøgning i Internet Explorer og Firefox: Der køres måske en proxy.pac- eller wpad.dat-fil i Internet Explorer, men du får ikke besked, hvis der opstår en fejl. Du vil blot blive ført direkte til internettet. Afprøv din scripts med notifikationer som nævnt i Diverse Microsoft-fejl og bugs Se Firewalls Dine computere skal være i stand til at nå den proxyserver, som WDS Connector kører på. Routeren og switche hos din virksomhed mellem klienten og proxyserveren skal tillade, at stationære og bærbare computere kommunikerer med proxyserveren på port Din proxyserver, hvor McAfee WDS Connector er installeret, skal tillade forbindelser på port Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 21

22 4 Almindelige konfigurationsproblemer Kontrol af, at alle konfigurationer står med små bogstaver Din proxyserver, hvor WDS Connector er installeret, skal tillade forbindelser på port Enhver firewall eller Windows-konfiguration, der begrænser forbindelser, kan reducere antallet af computere, der underkastes proxy på samme tid og resultere i en situation, hvor nogle maskiner underkastes proxy og andre ikke. Endeligt skal proxyserveren være i stand til at kommunikere med McAfee på port 3128 (squid) for at kunne filtrere anmodninger. Hvis en servers firewall eller grænse (router) blokerer denne port, vil proxyen ikke fungere. WDS Connector Service-problemer Kontroller, at WDS Connector Service kører på proxyserveren. I et WPAD-miljø vil brugere sandsynligvis gå direkte på internettet, hvis denne tjeneste er stoppet eller utilgængelig. I et miljø med en hardcoded proxykonfiguration eller et PAC-miljø uden "DIRECT", vil deaktivering af Web Protection-tjenesten føre til en fejlmeddelelse om, at siden ikke er fundet. Hvis andre godkendelsesmetoder bruges, så sørg for at 8080 er åben for udgående forbindelser. Domænecontroller- og brugerproblemer Den proxyserver, som WDS Connector er installeret på, skal være i stand til at kommunikere med den angivne domænecontroller under installationen. Hvis denne domænecontroller er bag en firewall, fjernet, afinstalleret eller på anden vis utilgængelig, vil brugeren få en godkendelsesfejl. WDS Connector kan ikke skifte til en anden domænecontroller på dette tidspunkt. Hvis du har brug for at nulstille eller redigere den domænecontroller, som WDS Connector peger på, anbefales det at stoppe forbindelsestjenesten først, hvis du er i et PAC- eller WPAD-miljø. Hvis du er hardcoded til denne proxyserver, kan deaktivering af WDS Connector eller arbejde på domænecontrolleren forårsage udfald på internettet. Domænebrugerproblemer med WDS Connector Proxyserveren, som WDS Connector er installeret på, skal være i stand til at til at kommunikere med domænecontrolleren under installationen via den brugerkonto, som er angivet under konfigurationsprocessen. Hvis denne brugerkonto er slettet, udløbet eller låst ude, vil brugeren få en godkendelsesfejl. Hvis en bruger ikke er oprettet i Control Console Hvis en bruger ikke er oprettet i Control Console og forsøger at nå proxyen via WDS Connector, vil han/hun få en godkendelsesfejl. Alle brugere bør oprettes før installation af WDS Connector. Overvej at bruge McAfees Directory Sync til automatisk at opdatere dine brugere mellem Active Directory og McAfee Console. Bruger med forkert adgangskode, konto låst ude eller konto udløbet i Active Directory WDS Connector henter brugeroplysninger fra Active Directory. Hvis en bruger imidlertid er logget på en computer lokalt, vil han/hun se et logon-vindue, før der logges på netværket. Hvis brugerens AD-konto er udløbet, låst ude eller slettet, vil denne bruger blive bedt om at logge på, før en hjemmeside kan åbnes, og vedkommende vil måske få en godkendelsesfejl. Ikke-domæne login Hvis en bruger logger på lokalt med en bærbar eller stationær computer, vil han/hun se et loginvindue, inden der kan oprettes adgang til et websted, præcis som hvis han/hun forsøgte at få adgang til en serverressource. 22 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

23 Almindelige konfigurationsproblemer Kontrol af, at alle konfigurationer står med små bogstaver 4 Programproblemer Visse programmer kan ikke godkende med NTLM eller fungerer ikke godt sammen med proxyer, og kan forårsage, at brugeren ser et loginvindue i stedet for en fejlmeddelelse. Vi oplever typisk dette på ikke-virksomhedsrelaterede Java-applikationer. Nogle gange vil adskillige klik lade dig omgå dette. Andre gange skal en administrator muligvis deaktivere automatisk konfiguration på proxyen. Windows-opdateringer McAfee anbefaler at bruge WSUS til at opdatere dine stationære og bærbare computere. Hvis du forsøger at gå til update.microsoft.com, vil du måske opleve at registreringsfasen er langsom og måske returnerer en fejlmeddelelse, hvis du går via proxyen. Dette er et velkendt problem med Microsoft Windows Update-siden og proxyservere, inklusive deres egen IAS-server. Den hurtigste måde at omgå dette på er ved at deaktivere automatisk registrering, før Windows Update åbnes. En anden mulighed er at ekskludere Windows Update-servere i din WPAD.DAT- eller Proxy.pac-fil. Du kan gøre dette ved at bruge kommandoen shexpmatch (url, websted) i dit script, så følgende sider ikke underkastes proxy På webstedet diskuteres dette problem, og der findes en løsning. Webserveren er ikke konfigureret korrekt Afprøv, om du kan åbne med din internetbrowser. Hvis din webbrowser spørger dig, hvordan du ønsker at åbne wpad.dat (for eksempel med Notesblok), har du udført dette trin korrekt. PAC/WPAD-filfejl PAC-filen indeholder en JavaScript-funktion. Syntaksfejl i JavaScript vil forhindre PAC-filen i at afvikles og vil ikke angive proxyen korrekt. Standardopførslen for de fleste browsere er ikke at indstille nogen proxy, så trafik omdirigeres direkte til internettet, uden filtrering. Brug et JavaScript-godkendelsesværktøj til at kontrollere, om der er syntaksfejl. Der findes et enkelt et på kopiér og indsæt indholdet af PAC-filen i tekstfeltet, og kør testen. Advarsler kan generelt ignoreres, men alle syntaksfejl eller andre fejl skal håndteres, før PAC-filen fungerer korrekt. Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 23

24 4 Almindelige konfigurationsproblemer Kontrol af, at alle konfigurationer står med små bogstaver 24 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

25 5 Konfiguration 5 af politiksæt På fanen Politiksæt vises de aktuelle websøgningspolitikker for den angivne Enterprise-kunde, inklusive standard- og prøvepolitikker, og du kan åbne en fane for en specifik politikkonfiguration og ændre politikkerne. Prøvepolitiksæt Der findes tre prøvepolitiksæt, du kan bruge som udgangspunkt for oprettelse af et brugerdefineret politiksæt: Afslappet politik - Indeholder det mindst strenge sæt politikker. Moderat politik - Indeholder et moderat strengt sæt politikker. Streng politik - Indeholder det strengeste sæt politikker. Du kan gøre et af følgende: Acceptere politikkonfigurationerne i standardpolitiksættene. Oprette, opdatere eller slette brugerdefinerede politiksæt. Redigere eller slette et prøvepolitiksæt. Vælg Control Console Web Protection Politikker for at få flere oplysninger om konfiguration af dine politikker. Klik på Ny, og følg instruktionerne i Hjælp. Politikplanlægningslink Med politikplanlægningslinket kan kunden definere forskellige politikker eller regler for deres brugere, på forskellige tidspunkter af dagen eller dage i ugen. For eksempel kan forskellige sider kun være tilladte i middagspausen i stedet for i normal arbejdstid. Vælg Control Console Web Protection Politikker linket Politikplanlægning, og følg instruktionerne i Hjælp for at angive dage og tidspunkter, hvor kunder har tilladelse til at åbne specifikke sider. Efterforskning På fanen Webefterforskning kan kundeadministratorer dykke ned i den tilgængelige logdata for at kontrollere tjenesten. Administratorer kan filtrere, sortere og eksportere data fra log-filerne for specifikt at afgøre hvad en eller alle brugere foretager sig, den efterfølgende handling, brug af båndbredde, virusregistrering osv. Data kan filtreres efter dato, bruger, kategori, efterfølgende handling med mere og kan desuden sorteres. Denne funktion giver kunderne den mest dybdegående tilgængelighed af data om Web Filtering-tjenesten. Hvis du vil have yderligere information om konfiguration af filtre og sorteringssøgning i Efterforskning, skal du vælge Control Console Webbeskyttelse Efterforskning. Følg instruktionerne i Hjælp. Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 25

26 5 Konfiguration af politiksæt Efterforskning 26 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

27 6 Optimering af WDS Connector til større installationer For kunder med mere end 500 klienter anbefaler McAfee at konfigurere WDS Connector til at bruge flere end de grundlæggende fem underordnede godkendelser. Konfiguration af proxyen til et stort antal klienter Konfiguration til et stort antal klienter foretages i squid-konfigurationsfilen (squid.conf), som bruges til at styre opførslen for WDS Connector-proxyen. Kunder med et stort antal klienter Brug ethvert tekstredigeringsprogram (for eksempel Notesblok) til at åbne filen squid.conf (standardplaceringen er c:\program files\wds connector\wds connector proxy\etc\squid.conf), og erstat auth_param ntlm children 5 med auth_param ntlm children 25 Sørg for, at der ikke er et #-tegn foran posten. Du skal genstarte WDS Connector-tjenesten, før ændringerne træder i kraft. Dette antal kan trygt hæves til 100. Dette angiver antallet af samtidige NTLM-godkendelser. Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning 27

28 6 Optimering af WDS Connector til større installationer Konfiguration af proxyen til et stort antal klienter 28 Tjenesten McAfee SaaS Web Protection Konfigurationsvejledning

29 A26