Installationsguide Version B. McAfee SaaS Web Protection Service

Transkript

1 Installationsguide Version B McAfee SaaS Web Protection Service

2 COPYRIGHT Copyright 2013 McAfee, Inc. Kopiera inte utan tillstånd. VARUMÄRKEN McAfee, McAfee logotypen, McAfee Active Protection, McAfee CleanBoot, McAfee DeepSAFE, epolicy Orchestrator, McAfee epo, McAfee EMM, Foundscore, Foundstone, Policy Lab, McAfee QuickClean, Safe Eyes, McAfee SECURE, SecureOS, McAfee Shredder, SiteAdvisor, McAfee Stinger, McAfee Total Protection, TrustedSource, VirusScan, WaveSecure är varumärken eller registrerade varumärken som tillhör McAfee, Inc. eller dess dotterbolag i USA och andra länder. Övriga namn och varumärken kan tillhöra andra. Produkt och funktionsnamn samt beskrivningar kan ändras utan föregående meddelande. Besök mcafee.com för information om aktuella produkter och funktioner. LICENSINFORMATION Licensavtal MEDDELANDE TILL ALLA ANVÄNDARE: LÄS NOGA TILLHÖRANDE JURIDISKA AVTAL FÖR DEN LICENS DU HAR KÖPT. I AVTALET ANGES ALLMÄNNA VILLKOR FÖR ANVÄNDNINGEN AV DEN LICENSIERADE PROGRAMVARAN. OM DU INTE VET VILKEN TYP AV LICENS DU HAR KAN DU SE DET PÅ FAKTURA/KVITTO ELLER DE LICENS /INKÖPSHANDLINGAR SOM MEDFÖLJER FÖRPACKNINGEN ELLER SOM DU ERHÖLL SEPARAT VID KÖPET (BROSCHYR, FIL PÅ CD SKIVAN MED PRODUKTEN ELLER FIL PÅ DEN WEBBPLATS DÄR DU HÄMTADE PROGRAMPAKETET). OM DU INTE ACCEPTERAR ALLA VILLKOR I AVTALET SKA DU INTE INSTALLERA PROGRAMVARAN. SKICKA I SÅ FALL TILLBAKA PRODUKTEN TILL MCAFEE ELLER TILL STÄLLET DÄR DU KÖPTE PRODUKTEN FÖR ATT FÅ PENGARNA TILLBAKA. 2 McAfee SaaS Web Protection Service Installationsguide

3 Innehåll 1 Introduktion 5 Krav Installera SaaS Web Protection Service 7 Kontrollera webbskyddsautentisering Lägga till användare i Kontohantering (explicit användare eller transparent autentisering) Lägga till användaruppgifter för McAfee Client Proxy WDS Connector (transparent autentisering) Hämta WDS Connector Proxykonfiguration 11 Konfigurera en statisk proxyinställning i din webbläsare Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper Lås din proxy Autokonfigurera filen Mozilla.cfg via ett inloggningsskript Skapa en Proxy Automatic Configuration- eller Web Proxy Auto-Detect-fil Ställa in WPAD Konfigurera DNS för ett WPAD-skript Ställa in en webbserver till att använda en PAC- eller WPAD-fil Exempel på grundläggande WPAD- eller PAC-fil Vanliga konfigurationsproblem 21 Kontrollera en hårdkodad proxyinställning först Kontrollera att alla konfigurationer använder små bokstäver Ställa in principuppsättningar 25 Analyser Optimera WDS Connector för större installationer 27 Konfigurera proxyn för många klienter McAfee SaaS Web Protection Service Installationsguide 3

4 Innehåll 4 McAfee SaaS Web Protection Service Installationsguide

5 1 1 Introduktion McAfee SaaS Web Protection Service ger skydd i realtid mot hot från webben och olämpligt innehåll vid nätverksperimetern innan de kan ta sig in i det interna nätverket. Webbläsartrafiken för användare omdirigeras till SaaS Web Protection Service. SaaS Web Protection Service kontrollerar innehållet i varje begäran för webbinnehåll mot definierade principer. Om det är aktiverat kontrolleras det även för kända maskar och virus. Endast det innehåll som inte strider mot dessa principer och som är utan kända hot skickas tillbaka till användaren. I Control Console kan du aktivera och inaktivera specifika principer för webbinnehåll och det fullständiga grafiska gränssnittet i SaaS Web Protection Service. Krav När du har definierat dina webbfiltreringsprinciper via Control Console omdirigerar Web Protection företagets webbtrafik till en proxyserver för att initiera skyddet. Följande måste slutföras innan du kan använda Web Protection Service: Prenumerera på Web Protection. Skapa en kund. Skapa en domän. Det kan vara bra att implementera katalogintegreringsfunktionen i Kontohantering innan du använder WDS Connector. På så sätt ökar du kraftigt chanserna för att användarnas e postadresser i Active Directory matchar dem i Control Console. Mer information om miljöer som stöds för Web Protection finns i den senaste versionsinformationen. McAfee SaaS Web Protection Service Installationsguide 5

6 1 Introduktion Krav 6 McAfee SaaS Web Protection Service Installationsguide

7 2 Installera 2 SaaS Web Protection Service SaaS Web Protection Service (Web Protection) stoppar hot innan de når företagets nätverk. När filtreringsprinciperna har definierats i Web Protection måste webbtrafiken omdirigeras till en proxyserver och då startar skyddet. Slutanvändarnas webbsessioner filtreras även systematiskt av Web Protection så att virus och spionprogram blockeras innan de når nätverket. Det gäller om du har betalat för hottjänsten. Innehåll Kontrollera webbskyddsautentisering Lägga till användare i Kontohantering (explicit användare eller transparent autentisering) Lägga till användaruppgifter för McAfee Client Proxy WDS Connector (transparent autentisering) Kontrollera webbskyddsautentisering Fönstret Åtkomstkontroller låter dig definiera på vilket sätt som användare ska autentiseras när de får tillgång till webben. Du kan, till exempel, registrera en lista över godkända IP adresser för ert företag. Välj bland en av de fyra mekanismerna nedan som ger dig åtkomst till webbskyddssystemet: Mer än en autentisering kan vid behov användas i kombination med varandra. Autentisering av IP adressintervall Fördelar: Ingen användarinloggning krävs. Inga lösenord behöver underhållas för användarna. Ingen programvara att installera. Kan distribueras i kanten av nätverket med hjälp av routning. Nackdelar: Grupprinciper kan inte tillämpas (en princip gäller för alla användare). Ingen individuell rapportering, all rapportering grupperas av den externa IP adressen. Explicit användarautentisering Fördelar: McAfee SaaS Web Protection Service Installationsguide 7

8 2 Installera SaaS Web Protection Service Kontrollera webbskyddsautentisering Grupprinciper kan tillämpas (olika användare kan ha olika principer). Individuell rapportering per användare. Ingen programvara att installera. Nackdelar: Erfordrar att användare loggar in en gång per webbläsarsession. Lösenord måste underhållas och/eller autentiseras gentemot företagsservern. Transparent autentisering (WDS Connector) Vid användning av WDS Connector finns det en rad goda råd för bästa praxis att följa. I de flesta fall, rekommenderar McAfee att WDS Connector ska finnas på en dedikerad server. Även om detta inte är ett krav för mindre kunder, reducerar en dedikerad server till ett minimum sannolikheten för att andra processer kan störa WDS Connector. McAfee relommenderar avinstallering eller avaktivering av programvara som inte är nödvändig från servern där WDS Connector har installerats. Fördelar: Ingen användarinloggning krävs. Inget lösenordsunderhåll för användare i webbskyddssystemet. Grupprinciper kan tillämpas (olika användare kan ha olika principer). Individuell rapportering per användare. Nackdelar: Kräver att programvara installeras i företagsinfrastrukturen. Kräver Active Directory och NTLM autentisering för att känna igen användare. Kräver att varje användare har en e postadress i Active Directory som stämmer överens med en motsvarande e postadress i Control Console. Kräver att användare loggar in på domänen interaktivt. Kräver att all webbläsartrafik omdirigeras via WDS Connector. McAfee Client Proxy (MCP) McAfee Client Proxy är en Windows agent som sömlöst omdirigerar HTTP och HTTPS trafik till SaaS Web Protection servrarna. McAfee Client Proxy kan konfigureras till: Omdirigera alltid för konstant skydd mot molnet. Omdirigera när användaren är utloggad från företagsnätverket, för nätverksväxlingsskydd. McAfee Client Proxy övergår till krypterad information i molnet som avser den enskilde användaren, gruppmedlemskap för användare och kundkontouppgifter. Systemet identifierar automatiskt användaren, gruppen eller kunden för att tillämpa lämpliga principer. Fördelar: Ingen användarinloggning krävs. Inget lösenordsunderhåll för användare i webbskyddssystemet. Grupprinciper kan tillämpas (olika användare kan ha olika principer). 8 McAfee SaaS Web Protection Service Installationsguide

9 Installera SaaS Web Protection Service Lägga till användare i Kontohantering (explicit användare eller transparent autentisering) 2 Individuell rapportering per användare. Kan konfigureras för att förhindra avaktivering av agenten. Arbete på nätverksnivå för alla webbläsare och alla andra HTTP eller HTTPS begäranden. Nackdelar: Endast Windows support. Kräver distribution till kontrollerade enheter (stationära eller bärbara datorer). Endast engelsk språkversion. Lägga till användare i Kontohantering (explicit användare eller transparent autentisering) Kontohantering är en uppsättning administrationsskärmar som du använder för att konfigurera och hantera entiteter i Web Protection Service, från en enda plats. Det här är ett alternativ för McAfee Client Proxy. Följande entiteter finns att välja på: Domäner Användare Andra administratörer, inklusive andra kundadministratörer, domänadministratörer, karantänhanterare och rapporthanterare Dessutom använder du Kontohantering för att administrera grupper av användare som delar en princip för e postfiltrering. För att ange vilka användare som ska använda Web Protection Services hämtar du Administrationsguiden för kontohantering och följer instruktionerna. 1 Gå till 2 Logga in om det behövs. 3 Klicka på Referensmaterial. 4 Klicka på Administrationsguide för kontohantering. Lägga till användaruppgifter för McAfee Client Proxy McAfee Client Proxy kan användas utan att definiera användarnamn. Control Console mappar användarnamn med informationen om domän/användarnamn för Windows som tillhandahålls av McAfee Client Proxy. Control Console tillhandahåller ett verktyg för att mappa användarnamn till de e postanvändare som skapats. McAfee SaaS Web Protection Service Installationsguide 9

10 2 Installera SaaS Web Protection Service WDS Connector (transparent autentisering) Åtgärd 1 Starta Web Protection Policies McAfee Client Proxy principer. 2 Klicka på Verktyg för MCP användaridentifiering Det här verktyget mappar automatiskt användarnamn i Active Directory till e postkontona i Control Console. Om inget användarnamn anges använder verktyget McAfee Client Proxy specifik information om gruppen eller kunden för att avgöra vilken princip som ska användas för filtrering. WDS Connector (transparent autentisering) WDS Connector SM, som är en förbättring av SaaS Web Protection Service (Web Protection), gör att användarna kan komma åt webben via Web Protection med hjälp av befintliga autentiseringsuppgifter för det lokala domännätverket. Den här möjligheten, även kallad transparent autentisering, medför att Web Protection inte behöver autentisera användarna varje gång de öppnar en webbläsare. Istället valideras användarna automatiskt av Web Protection när de öppnar en webbläsare. Administratörerna av tjänsten Web Protection kan fortsätta att använda grupprinciper för användarna. De kan även fortsätta att spåra enskilda personers Internetanvändning, hot och liknande. Hämta WDS Connector Hämta programvaran för WDS Connector så att du kan installera den och börja använda WDS Connector. Åtgärd 1 Klicka på fliken Web Protection Installation. 2 Klicka på länken WDS Connector. 3 Klicka på Hämta WDS Connector för att hämta och installera programvaran WDS Connector. Om du öppnade Control Console från Windows servern som du använder som proxyserver för WDS Connector kan du köra programvaruinstallationen när du hämtar den. I så fall klickar du på Kör när det första installationsfönstret visas. Om du öppnar Control Console från en annan dator än proxyservern för WDS Connector måste du spara programvaran på en USB enhet, en CD enhet eller liknande, överföra den till proxyservern för WDS Connector och sedan installera den. 10 McAfee SaaS Web Protection Service Installationsguide

11 3 Proxykonfiguration 3 När du har konfigurerat Web Protection måste du konfigurera dina klienter för att kunna använda proxyn. Det kan göras huvudsakligen på fyra olika sätt: Konfigurera klienterna manuellt till att peka till Web Protection och/eller WDS Connector med hjälp av proxyinställningarna i Internet Explorer eller Firefox. Det är ett effektivt sätt att låsa datorerna till att peka till Web Protection. Det största problemet med den här inställningen är dock att den inte är särskilt flexibel. Den rekommenderas därför endast för mindre platser eller platser där de flesta använder stationära datorer, inte bärbara. Konfigurationerna på den lokala datorn gör det även möjligt för användaren att ändra tillbaka den här konfigurationen när IT experten har gått. Det diskuteras även hur du kan låsa Internet Explorer och Firefox så att användaren inte kan ändra eller ta bort proxyinställningarna på ett enkelt sätt. Och slutligen kan du använda grupprinciper för att hårdkoda användarnas proxies och ta bort möjligheten att ändra dem. Använd en Proxy Auto Configuration fil (PAC file) för att ange hur en användares webbläsare ska hitta och använda webbproxies i nätverket. Det är mycket problematiskt för användare med bärbara datorer att manuellt konfigurera klienter till att hårdkodas till en proxy. Det beror på att den proxyn inte är tillgänglig om de inte är i företagets nätverk, antingen via en trådbunden anslutning eller VPN. Med en PAC fil kan du korrigera det här problemet genom att styra var webbläsaren hämtar proxyinformation eller genom att eventuellt ignorera proxyn och gå direkt till Internet när proxyn inte kan hittas. En annan fördel med PAC filer är att du kan definiera vad proxies ska användas för och vad de inte ska användas för. Det kan till exempel vara bättre att använda Web Protection för allmänt webbsurfande medan du kanske inte vill att dina viktiga webbaserade program ska skickas via en proxy. Med en PAC fil kan du lägga till lite mer information om hur användarnas webbläsare avgör hur trafiken ska dirigeras. Med Web Proxy Auto Detect Protocol (WPAD) krävs få eller nästan inga ändringar på klienten, eftersom webbläsaren använder inställningen Identifiera automatiskt för att hitta din konfigurationsfil på en webbserver. Om det inte går att hitta WPAD inställningarna eller servern anpassar webbläsaren sig snabbt och går direkt till Internet. Den här inställningen är den allra enklaste för klienten, men den är mer krävande för systemadministratören eftersom det innebär en konfigurering av webb, DHCP och DNS servrar. Formatet på WPAD.DAT filen är som tur är identiskt med PAC filen och vi tillhandahåller exempel som du kan kopiera och klistra in efter behov i det här avsnittet. Om du använder McAfee Client Proxy avgör konfigurationsprincipen för McAfee Client Proxy hur och vart trafiken ska omdirigeras. Mer information finns i dokumentationen om McAfee Client Proxy på Control Console under Web Protection Inställningar McAfee Client Proxy. Åtgärder Konfigurera en statisk proxyinställning i din webbläsare på sidan 12 Det fungerar bra för mindre platser att hårdkoda inställningarna i Internet Explorer eller Firefox. Detsamma gäller för platser där det mest finns stationära datorer. Den här inställningen fungerar dock inte bra för användare med bärbara datorer som arbetar lokalt och via fjärrstyrning. Det beror på att de inte har åtkomst till Internet om de inte kommer åt proxyservern. Det finns heller ingen Intelligent Routing eller överlämning vid fel om det inte går att nå proxyn. Innehåll Konfigurera en statisk proxyinställning i din webbläsare McAfee SaaS Web Protection Service Installationsguide 11

12 3 Proxykonfiguration Konfigurera en statisk proxyinställning i din webbläsare Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper Konfigurera en statisk proxyinställning i din webbläsare Det fungerar bra för mindre platser att hårdkoda inställningarna i Internet Explorer eller Firefox. Detsamma gäller för platser där det mest finns stationära datorer. Den här inställningen fungerar dock inte bra för användare med bärbara datorer som arbetar lokalt och via fjärrstyrning. Det beror på att de inte har åtkomst till Internet om de inte kommer åt proxyservern. Det finns heller ingen Intelligent Routing eller överlämning vid fel om det inte går att nå proxyn. Innan du börjar Den här konfigurationen utgår ifrån att klienten och servern inte konfigurerats för att blockera port 3128 och/eller port Åtgärd 1 Starta Internet Explorer. 2 Klicka på Verktyg Alternativ. 3 Klicka på fliken Anslutningar. 4 Klicka på LAN inställningar. 5 Välj Använd en proxyserver för LAN. Om du använder WDS Connector: a Ange det kvalificerade domännamnet (som du använder) eller DNS servernamnet som används av servern där WDS Connector är installerat. b I fältet Port anger du Ange proxyposten som finns i det aktiveringskit du har fått för etablering. 7 i fältet Port anger du Välj Förbipassera proxyserver för lokala adresser. När du är klar borde proxyservern se ut som följande exempel: där proxy server är namnet på den server du installerade i WDS Connector. McAfee rekommenderar att du använder ett kvalificerat domännamn som proxyserver.yourdomain.com istället för bara ett servernamn. 9 Klicka på fliken Anslutningar. Om du har poster i Inställningar för uppringnings och VPN anslutningar måste du även konfigurera posterna för proxyn. a Markera den VPN inställning som du vill konfigurera och klicka på Inställningar. b Välj Använd en proxyserver för den här anslutningen. 10 Om du använder WDS Connector: a Ange det kvalificerade domännamnet (som du använder) eller DNS servernamnet som används av servern där WDS Connector är installerat. b I fältet Port anger du Om du inte använder WDS Connector rekommenderar McAfee att du väljer Förbipassera proxyserver för lokala adresser. Ange proxyn i aktiveringskitet. 12 I fältet Port anger du port McAfee SaaS Web Protection Service Installationsguide

13 Proxykonfiguration Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper 3 Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper Med hjälp av grupprinciper kan du konfigurera alla maskiner i din Microsoft domän till att ha en hårdkodad proxyinställning. Det finns för närvarande ingen lösning för Firefox som baseras på grupprinciper. Om du kör GPEDIT.MSC på din lokala dator redigerar du den lokala datorns princip. Om du kör den via Active Directory användare och datorer eller grupprinciphantering redigerar du grupprincipen på din domänkontrollant för hela domänen. Du bör hur som helst alltid vara försiktig! Lås din proxy Istället för att begära att alla era användare enskilt ska konfigurera sina proxyinställningar, kan du genomföra en grupprincip på en Windows baserad dator för endast Internet Explorer. Åtgärd 1 Gå till Start menyn och välj Kör. Dialogrutan Principredigerare för lokal grupp visas 2 Ange gpedit.msc och klicka på OK. Fönstret Grupprincip visas. 3 I vänster panel, välj Användarkonfiguration Windows inställningar Internet Explorer underhåll Anslutning. 4 I höger panel, dubbelklicka på alternativet Proxyinställningar. Dialogrutan Proxyinställningar visas. 5 Välj Aktivera proxyinställningar. 6 I fältet HTTP, ange proxyserverns adress som du hittar i ditt välkomstbrev. Om du är etablerad på portal.mcafeesaas.com, använd <yourdomainhere.com>.web01.mxlogic.net Om du är etablerad på console.mcafeesaas.com, använd <yourdomainhere.com>.web02.mxlogic.net Redigera <yourdomainhere.com> så att den är specifik för ert företag. 7 I fältet Port anger du Förbipassera webbproxyservern. a I rutan Undantag, ange webbplatsadresser för vilka trafiken inte får filtreras. Du kan ange delvisa domäner eller IP adresser, såsom *.yourdomain.com;10.*; *. Varje post ska skiljas åt med ett semikolon.. b c Kontrollera att Använd inte någon proxyserver för lokala (intranet) adresser har markerats. Klicka på OK. McAfee Web Protection Service proxyservrar kan inte ansluta till servrar i ert företags privata företagsnätverk (LAN). För att få åtkomst till dessa privata webbplatser, måste du förbipassera proxyservern. McAfee SaaS Web Protection Service Installationsguide 13

14 3 Proxykonfiguration Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper Autokonfigurera filen Mozilla.cfg via ett inloggningsskript Det här är ett av många sätt som du kan använda för att skicka den här filen och redigera filen all.js via ett inloggningsskript. Inloggningsskriptet kontrollerar först om Firefox är installerat. Därefter letar det efter filen Mozilla.cfg. Om Firefox är installerat men filen Mozilla.cfg saknas kopierar det filen och redigerar filen all.js genom att lägga till en ny rad. Därefter lägger det till pref kommandot i filen all.js så det vet att det ska leta i filen Mozilla.cfg. Allt det här skriptet gör registreras i en loggfil så att du får alla detaljer om hur det gick med installationen. Användarna påverkas inte på något sätt. Nästa gång de stänger och öppnar webbläsaren blir de låsta vid din proxykonfiguration. Åtgärd 1 Kopiera filen Mozilla.cfg till en delad enhet som alla användare kommer åt på nätverket (skrivskyddad). 2 Redigera ditt inloggningsskript enligt följande: Glöm inte att ändra \\server\share till ditt server och delningsnamn. :: Firefox Proxy Config file drop and all.js adjustment GOTO Check :Check :: First check to see if Firefox is installed, then see if the config file is there IF NOT EXIST "C: \Program Files\Mozilla Firefox" GOTO Lognofirefox IF NOT EXIST "C:\Program Files\Mozilla Firefox\mozilla.cfg" GOTO Update IF NOT EXIST "C:\Program Files\Mozilla Firefox\mozilla.cfg" GOTO Update GOTO Logalreadyinstalled GOTO End :Update :: Drop the config file and adjust all.js copy \\server\share\mozilla.cfg C:\Program Files\Mozilla Firefox :: ::C reate a new line at the bottom of the all.js file ECHO. >> "C:\Program Files\Mozilla Firefox\greprefs\all.js" :: ::Add a pref to point to the new CFG file to the end of all.js ECHO pref(general.config.filename, mozilla.cfg); >> C:\Program Files\Mozilla Firefox \greprefs\all.js GOTO Loginstalled :Lognofirefox Echo %date% %time% user %username% on %computername% does not have FireFox installed >> \\server\share \log.txt GOTO End :Logalreadyinstalled Echo %date% %time% user %username% on %computername% already has mozilla.cfg downloaded >> \\server\share\log.txt GOTO End :Loginstalled Echo %date% %time% user %username% on %computername% SUCCESS!! FireFox Proxy installed! >> \\server\share\log.txt GOTO End :End ::All done! Testa alltid inloggningsskriptet på en eller flera datorer innan du sätter det i arbete. På datorer som du inte vill låsa ska du släppa filen Mozilla.cfg manuellt men inte uppdatera filen all.js. Då ignorerar skriptet den datorn och utgår ifrån att den redan är uppdaterad. Skapa en Proxy Automatic Configuration- eller Web Proxy Auto- Detect-fil En Proxy Automatic Configuration (PAC) fil och en Web Proxy Auto Detect (WPAD) fil är båda enkla filer som underhålls på en intern webbserver som använder JavaScript för att tala om för webbläsaren vad den ska göra innan den försöker att hämta en webbsida. Fördelen med PAC och WPAD filer är att de hjälper dig att bidra med information till din proxykonfigurering så att den kan anpassa sig när datorn inte är ansluten till ditt nätverk, eller om proxyservern är nere. Du kan även bestämma vilka platser som ska proxas eller ej så att affärskritiska webbplatser aldrig kan påverkas av en proxy. Ställa in WPAD När du använder Web Proxy Auto Detect Protocol letar webbläsaren först i DHCP för att tillhandahålla platsen där wpad.dat filen finns. Om programmet inte hittar DHCP letar det i DNS innan det försöker med Internet. Du måste konfigurera DHCP servern till att tillhandahålla den här informationen. Lägg till alternativ 252 i DHCP 14 McAfee SaaS Web Protection Service Installationsguide

15 Proxykonfiguration Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper 3 Åtgärd 1 På servern som kör DHCP (eller med MMC på datorn) väljer du Starta Program Administrationsverktyg DHCP. 2 Högerklicka på den DHCP server du vill redigera och välj Ställ in fördefinierade alternativ. 3 Hitta 252. Om det inte finns: a Klicka på Lägg till för att lägga till ett nytt alternativ.. b I fältet Alternativnamn anger du WPAD. c I fältet Kod anger du 252. d I datafältet anger du vald sträng och klickar på OK. 4 I listrutan Alternativnamn väljer du 252 WPAD. 5 I fältet Sträng anger du Där mywebserver är namnet på den webbserver du lagt i konfigurationsfilen wpad.dat. Denna sträng måste vara skriven med små bokstäver. 6 Klicka på OK. När du har gjort den ändringen publiceras WPAD informationen med varje ny IP adress. Så se till att det är rätt i DHCP servern, att skriptet fungerar och att du tar ut/förnyar IP adressen så att du kan testa den när du har klickat på OK. Nu när du har slutfört stegen ovan då du lade till Alternativ 252 på din DHCP server kan du välja att ställa in detta för hela din DHCP server, enskilda områden eller båda. 7 Högerklicka på Serveralternativ och välj Konfigurera alternativ. Detta steg måste vara i små bokstäver. 8 Välj Alternativ 252 Se till att webbserverinformationen, port och filnamnen är korrekta. De måste vara i små bokstäver. 9 Klicka på OK. 10 Öppna området i fråga. 11 Högerklicka på Områdesalternativ och klicka på Konfigurera alternativ. 12 Välj Alternativ Fyll i servernamnet med namnet på din webbserver, port och wpad.dat fil. Dessa poster måste anges i små bokstäver. 14 Klicka på OK. McAfee SaaS Web Protection Service Installationsguide 15

16 3 Proxykonfiguration Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper Konfigurera DNS för ett WPAD-skript Internet Explorer kommer att leta efter DHCP Option 252 om knappen Identifiera automatiskt väljs, så du kan komma att undra varför vi rekommenderar dig att göra denna ändring även i DNS. Det finns flera olika skäl till varför du kan behöva göra detta: Du vill att din proxykonfigureringsfil ska fungera på datorer med en statisk IP adress. Du har andra webbläsare som kan föredra en DNS post framför DHCP såsom Firefox. Du misstänker att din inställning för automatisk detektering kommer att tvinga webbläsaren att söka tills den hittar en konfigurerad fil, möjligen i en felaktig domän. Om du, till exempel, har alternativet Identifiera proxyinställningar atomatiskt inställt i din webbläsare, men webbläsaren inte kan hitta wpad.dat filen för dallas.mydomain.com, kommer den att söka efter wpad information på wpad.mydomain.com och sedan på wpad.com innan den ger upp. Skulle den hitta informationen, kommer den att köra skriptet som har hittats i en av domänerna vilket leder till ett uppenbart säkerhets och konfigureringsproblem. Man utgår ifrån att du vill tillhandahålla WPAD information för din lokala domän. Om man utgår ifrån att din lokala domän är mydomain.info ska du redigera DNS servern för mydomain.info och lägga till ett cnamn register som kallas WPAD vilket pekar på webbservern som innehar filen. Åtgärd 1 Starta DNS i MMC genom att gå till administrativa verktyg i domänkontrollanten som är värd för din DNS. 2 Expandera Genomsökningsområden bakåt. 3 Högerklicka på din forward lookup zone och välj Nytt Alias (CNAME). 4 I fältet Alias, ange WPAD. 5 Ange det kvalificerade domännamnet för den server som är värd för din WPAD fil. 6 Klicka på OK. 7 Klicka på OK. Testa genom att ställa in alternativet Identifiera automatiskt i Internet Explorer. När din webbläsare hittar en sida med namnet wpad.yourdomain.com, uppdateras din proxyinformation automatiskt. 8 Efter att ha slutfört instruktionerna för installation av DNS och DHCP nedan, kan du konfigurera din webbläsare till att automatiskt identifiera proxyinställningar. a Starta Internet Explorer. b c d e Välj Verktyg Alternativ.. Klicka på fliken Anslutningar. Välj LAN inställningar om trådbunden till nätverket. Välj Identifiera inställlningar automatiskt. 16 McAfee SaaS Web Protection Service Installationsguide

17 Proxykonfiguration Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper 3 Ställa in en webbserver till att använda en PAC- eller WPAD-fil För att använda en PAC eller WPAD fil till att konfigurera dina proxyservrar, måste du konfigurera flera olika saker i ditt nätverk. Innan du börjar PAC filen är mycket enklare än WPAD inställningen eftersom du med PAC filen talar om för din webbläsare var den kan hitta filen, så att du bara behöver placera den i en webbservers rot och tala om för servern hur den kan hämta filen. WPAD inställningen använder dock DHCP och DNS för att ta reda på var filen finns om användarens webbläsare är inställd till Identifiera inställningar automatiskt, därför måste du placera filen i en webbserver och uppdatera DHCP och DNS så att webbläsaren vet var den ska leta efter filen. PAC och WPAD filen måste placeras i en webbserver. Vi rekommenderar starkt en intern webbserver istället för en Internet server. Vi råder er även att använda en skrivskyddad fil för att förhindra en hackare från att kunna omdirigera all din Internet trafik till sina favoritplatser för spionprogram. För mer information om eventuella säkerhetsproblem vid användning av en PAC fil eller ett WPAD protokoll, se Åtgärd 1 Kopiera din proxy.pac fil till rotkatalogen för dokument på din webbserver. Måste vara rotkatalogen för dokument. Måste vara den virtuella standardservern eller den aktiva virtuella servern. Måste vara ett filnamn med små bokstäver. 2 Lägg till en MIME post i konfigurationen för webbservern så att den vet hur den ska öppna filen. 3 Öppna IIS hanteraren på webbservern. 4 Högerklicka på webbplatsen för att lägga till en MIME typ. 5 Klicka på Egenskaper. 6 I fliken HTTP huvuden, klicka på MIME typ. 7 Klicka på Ny. 8 I tilläggsfältet, ange filnamnet tillägg: pac a b I fältet Mime typer, ange: application/x javascript config Klicka på OK och starta sedan om IIS tjänsten (när det är lämpligt att göra så, beroende på vad webbservern håller på med för övrigt). Åtgärder Ställa in webbservrar för Apache version 1.x på sidan 18 För att ställa in webbservrar för Apache 1.x ska du slutföra följande steg. Ställa in webbläsare for Apache version 2.x på sidan 19 För att ställa in webbservrar för Apache 2.x ska du slutföra följande steg. McAfee SaaS Web Protection Service Installationsguide 17

18 3 Proxykonfiguration Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper Ställa in webbservrar för Apache version 1.x För att ställa in webbservrar för Apache 1.x ska du slutföra följande steg. Åtgärd 1 Redigera /etc/apache/httpd.conf 2 Lägg till AddType application/x javascript config pac 3 Redigera /etc/apache2/mods available/mime.conf. 4 Lägg till AddType application/x javascript config pac Starta om Apache Web Server (när det är lämpligt att göra så, beroende på vad webbservern håller på med för övrigt). 5 Testa genom att öppna Om webbläsaren frågar hur du vill öppna proxy.pac filen vet du att du har slutfört det här steget på rätt sätt. Konfigurera webbläsaren till att peka till proxy.pac filen i Internet Explorer genom att slutföra följande: a Klicka på Verktyg Alternativ. b c d Klicka på fliken Anslutningar. Klicka på LAN inställningar om du har trådbunden anslutning till nätverket och ställ in för att konfigurera ett VPN. I fältet Automatiskt konfigurationsskript anger du URL adressen för din webbserver. Webbserverkonfiguration för en WPAD.DAT fil: 6 Kopiera wpad.dat filen till rotkatalogen för dokument på din webbserver. a Det måste vara rotkatalogen för dokument, inte en undersida eller lägre katalog. b c Det måste vara den virtuella servern som är standard eller aktiv virtuell server. MÅSTE vara ett filnamn med små bokstäver, annars fungerar inte WPAD.dat utan istället fungerar wpad.dat. 7 Lägg till en MIME post i konfigurationen för webbservern så att den vet hur den ska öppna filen. 8 Öppna IIS Manager på webbservern. 9 För att lägga till en MIME typ högerklickar du på den webbplats du vill ha. 10 Klicka på Egenskaper. 11 I fliken HTTP rubriker klickar du på MIME typer. 12 Klicka på Ny. 13 I fältet för tillägg anger du filnamnstillägget: pac. a I rutan Mime typ anger du: application/x javascript config. b Klicka på OK och starta sedan om IIS tjänsten (när det är lämpligt att göra så, beroende på vad webbservern håller på med för övrigt). 18 McAfee SaaS Web Protection Service Installationsguide

19 Proxykonfiguration Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper 3 Ställa in webbläsare for Apache version 2.x För att ställa in webbservrar för Apache 2.x ska du slutföra följande steg. Åtgärd 1 Redigera /etc/apache2/mods available/mime.conf 2 Lägg till följande rad: (dat for wpad, pac for.pac) a Lägg till typen application/x javascript config dat b Starta om Apache Web Server (när det är lämpligt att göra så, beroende på vad webbservern håller på med för övrigt). 3 Testa genom att öppna i din webbläsare. Om webbläsaren frågar hur du vill öppna wpad.dat filen (till exempel med Notepad) vet du att du har slutfört det här steget på rätt sätt. 4 Efter att ha slutfört instruktionerna för installation av DNS och DHCP nedan, kan du konfigurera din webbläsare till att automatiskt identifiera proxyinställningar. a Starta Internet Explorer. b Välj Verktyg Alternativ. c Klicka på fliken Anslutningar. d e Klicka på LAN inställningar om du har trådbunden anslutning till nätverket. Välj Identifiera inställningar automatiskt. Exempel på grundläggande WPAD- eller PAC-fil Följande är ett exempel på en grundläggande PAC eller WPAD fil. Exempel på WPAD eller PAC fil function FindProxyForURL(url, host) { return "PROXY proxyserver.example.com:3128 } Förutsatt att din Internet Information Server eller Apache Web Server och Internet Explorer har konfigurerats korrekt (vi kommer till detta nedan), kommer din webbläsare när den försöker att ladda en webbsida att köra detta skript och veta att söka efter proxyservern i port Om det inte går att hitta den, kommer den att skicka webbläsaren direkt till Internet. Detta var ett ganska så enkelt exempel. Vad händer om du vill att din proxy fil ignorerar ditt lokala nätverk och dator? WPAD eller PAC fil som inte använder proxy för den lokala värddatorn eller nätverket function FindProxyForURL(url, host) { function FindProxyForURL(url, host) { if ( isplainhostname(host) localhostordomainis(host, " ") isinnet(host, " ", " ")) return "DIRECT"; else return ""PROXY proxyserver.example.com:3128"; } Om du skulle vilja konfigurera din PAC fil för att ignorera specifika webbplatser, kan du lägga till shexpmatch(url, Se följande exempel. WPAD eller PAC fil som ignorerar specifika webbplatser function FindProxyForURL(url, host) { if ( isplainhostname(host) localhostordomainis(host, " ") isinnet(host, ", " ) shexpmatch(url, "*.yourcompanyname McAfee SaaS Web Protection Service Installationsguide 19

20 3 Proxykonfiguration Konfigurera en statisk proxy på alla dina datorer som använder grupprinciper.*")) // Don t proxy mxlogic.* return DIRECT; else return ""PROXY proxyserver.example.com: 3128"; } Om du slutligen vill konfigurera din proxyserver till att innehålla mer information angående vad den bör göra om den inte hittar proxyn, kan du tillhandahålla flera olika proxyservrar eller tala om för den att gå direkt till Internet.. else return PROXY proxyserver.example.com:3128; proxy domain.com.web02.mxlogic.net:8080; DIRECT; } I detta exempel talar vi om för webbläsaren att försöka hitta den lokala proxyn. Om detta misslyckas ska du försöka att gå direkt till McAfee för användning av proxy. Gå direkt till Internet om detta misslyckas. Det finns många olika alternativ som du kan använda i dina PAC och WPAD filer. Microsoft Technet nämner ganska många i artikeln på us/library/dd aspx. Det redogörs även för olika alternativ till PAC och WPAD filer här: ~jcurnow/writingeffectivepacfiles.html Andra överväganden En annan viktig sak att tänka på är att Internet Explorer inte tillhandahåller någon felkontroll för en PAC eller WPAD fil. Om du har missat en stängningsklammer eller parentes eller har felskrivit ett kommando, kommer inte din webbläsare att tala om detta för dig, utan den kommer helt enkelt att gå direkt till Internet. Så när du skapar din PAC fil, kan brist på proxy (och du har redan bekräftat att en direkt anslutning till din proxy fungerar) betyda att det finns ett fel någonstans i ditt skript. Observera även att webbläsaren kan lagra den här filen lokalt, så att ändringar i PAC eller WPAD filen på servern kanske inte leder till några ändringar hos klienten förrän de stänger av sin proxykonfigurering och aktiverar den igen i Internet Explorer eller Firefox. 20 McAfee SaaS Web Protection Service Installationsguide

21 4 Vanliga 4 konfigurationsproblem För att avgöra vad som är fel med din proxykonfiguration ska du ange servernamn och port manuellt i proxykonfigurationen för Internet Explorer eller Firefox och sedan stänga webbläsaren. Öppna den igen och försök att öppna en webbsida. Innehåll Kontrollera en hårdkodad proxyinställning först Kontrollera att alla konfigurationer använder små bokstäver Kontrollera en hårdkodad proxyinställning först Om du kan öppna en webbsida betyder det att proxyn fungerar. Om du kan öppna endoftime.mcafee.com och får ett felmeddelande från Web Protection som säger Sidan kunde inte hittas så vet du att du filtreras av tjänsten. Om du inte kan öppna en webbsida så vet du att det är problem med proxyservern. Om du kan öppna en webbsida men inte filtreras är det ett skript eller en annan automatisk konfigurationsdel som är trasig. Kontrollera att alla konfigurationer använder små bokstäver Enligt informationen i flera avsnitt ovan krävs små bokstäver i de flesta system för flera WPAD konfigurationer i DNS, DHCP och i filnamnet på wpad.dat filen. Kontrollera dessa områden noggrant. Felkontroll saknas i Internet Explorer och Firefox: Internet Explorer kanske kör en proxy.pac fil eller wpad.dat fil men talar inte att programmet har stött på ett fel. Det ger bara upp och fortsätter vidare till Internet. Testa dina skripter med hjälp av varningarna enligt beskrivning i WritingEffectivePACFiles.html. Olika Microsoftfel och buggar Se us/library/cc aspx. Brandväggar Dina datorer måste kunna nå din proxyserver där WDS Connector körs. Företagets router och växlingar mellan klienterna och proxyservern måste tillåta de stationära och bärbara datorerna att kommunicera med proxyservern i port McAfee SaaS Web Protection Service Installationsguide 21

22 4 Vanliga konfigurationsproblem Kontrollera att alla konfigurationer använder små bokstäver Din proxyserver där McAfee WDS Connector är installerat måste tillåta inkommande anslutningar till port Din proxyserver där WDS Connector är installerat måste tillåta många anslutningar till port Eventuella brandväggar eller Windows konfigurationer som begränsar anslutningar kan minska antalet datorer som kan använda proxyn samtidigt i en situation där vissa maskiner använder den och andra inte. Och slutligen måste proxyservern kunna kommunicera med McAfee i port 3128 (squid) för att kunna filtrera förfrågningar. Om en serverbrandvägg eller gränsbrandvägg (router) blockerar den här porten kommer proxyn inte att fungera. Problem med tjänsten WDS Connector Verifiera att tjänsten WDS Connector körs på proxyservern. I en WPAD miljö kommer användarna troligen att gå direkt till Internet om den här tjänsten har stoppats eller inte är tillgänglig. I en hårdkodad proxykonfiguration eller i en PAC miljö utan "DIRECT" uppstår ett fel där sidan inte kan hittas om Web Protection är avstängt. Om du använder andra autentiseringsmetoder ska du kontrollera att port 8080 är öppen för utgående anslutningar. Problem med domänkontrollant och användare Din proxyserver där WDS Connector har installerats måste kunna kommunicera med domänkontrollanten som angavs vid installationen. Om brandväggen har stängt av den här domänkontrollanten, eller om den har avinstallerats eller av andra skäl inte är tillgänglig får användarna ett autentiseringsfel. WDS Connector kan inte överföra till en annan domänkontrollant just nu. Om du behöver återställa eller arbeta på domänkontrollanten som WDS Connector pekar till rekommenderar vi att du stoppar kopplingstjänsten först om du är i en PAC eller WPAD miljö. Om du är hårdkodad till den här proxyservern kan Internetanslutningen avbrytas om du stänger av WDS Connector eller arbetar på din DC. Problem med domänanvändaren i WDS Connector Den proxyserver där WDS Connector har installerats måste kunna kommunicera med domänkontrollanten som angavs vid installationen. Det sker med det användarkonto som angavs under installationen. Om det användarkontot har tagits bort, gått ut eller blivit låst får användarna ett autentiseringsfel. Användaren har inte ställts in på Control Console Om användare inte har skapats på Control Console och försöker använda proxy genom WDS Connector får de ett autentiseringsfel. Alla användare måste anges före installationen av WDS Connector. Fundera på att använda McAfees katalogsynkronisering för att automatiskt uppdatera användarna mellan Active Directory och McAfee Console. Användaren har felaktigt lösenord, kontot är låst, kontot har förfallit i Active Directory WDS Connector letar i Active Directory efter användarinformationen. Men om användarna har loggat in på en dator lokalt får de en inloggningsuppmaning innan de loggar in i nätverket. Dessutom blir de ombedda att logga in innan de går till en webbsida om AD kontot har gått ut, blivit låst eller raderats. De kan även få ett autentiseringsfel. 22 McAfee SaaS Web Protection Service Installationsguide

23 Vanliga konfigurationsproblem Kontrollera att alla konfigurationer använder små bokstäver 4 Icke domäninloggning Om användare loggar in lokalt på en stationär eller bärbar dator får de en inloggningsuppmaning innan de kan öppna en webbplats, precis som de skulle ha fått om de försökte öppna en serverkälla. Programproblem Vissa program kan inte autentiseras med hjälp av NTLM, eller så vill de inte använda proxy och ger användarna inloggningsuppmaningar istället för felmeddelanden. Det här uppstår ofta på Java program som inte är relaterade till verksamheten. Ibland kan du ta dig förbi det genom att klicka flera gånger. I andra fall måste en administratör avmarkera autokonfigurationen på proxyn. Windows uppdateringar McAfee rekommenderar att du använder WSUS för uppdateringar till dina stationära och bärbara datorer. Om du försöker att gå till update.microsoft.com kanske du märker att avkänningssfasen hänger sig och sedan ger ett felmeddelande om du går via proxyn. Det här är ett känt problem med webbplatsen Microsoft Windows Update och proxyservrar med egen IAS server. Den snabba vägen kring det är att stänga av automatisk identifiering innan du går till Windows Update. Ett annat alternativ är att utesluta Windows Update servrarna i din WPAD.DAT eller Proxy.pac fil. Det gör du med hjälp av kommandot shexpmatch (url, webbplats) i ditt skript så att proxyn inte används för följande webbplatser: Webbplatsen där det här problemet diskuteras och där du får en väg runt det är support.microsoft.com/kb/ Webbservern är inte korrekt konfigurerad Testa om du kan öppna i din webbläsare. Om webbläsaren frågar hur du vill öppna wpad.dat filen (till exempel med Notepad) vet du att du har slutfört det här steget på rätt sätt. Fel med PAC /WPAD fil PAC filen innehåller en JavaScript funktion. Syntaxfel i JavaScript gör så att PAC filen inte kan arbeta och proxyn ställs inte in som den ska. Standard för de flesta webbläsare är att inte ställa in proxy så att trafiken kan dirigeras till Internet utan filtrering. För att testa syntaxfel använder du ett valideringsverktyg för JavaScript. Ett enkelt sådant finns på kopiera och klistra in innehållet i PAC filen i textområdet och kör testet. Du kan oftast ignorera varningar men syntaxfel eller andra fel måste hanteras för att PAC filen ska fungera korrekt. McAfee SaaS Web Protection Service Installationsguide 23

24 4 Vanliga konfigurationsproblem Kontrollera att alla konfigurationer använder små bokstäver 24 McAfee SaaS Web Protection Service Installationsguide

25 5 Ställa 5 in principuppsättningar Fliken Principuppsättningar listar de för tillfället fastställda webbsurfningsprinciperna för den angivna företagskunden, inklusive standard och exempelprinciper, och gör att du kan öppna den särskilda fliken för principkonfigurering för att ändra principerna. Exempel på principuppsättningar Det finns tre exempel på principuppsättningar som du kan använda som en startpunkt för att skapa kundanpassade principuppsättningar: Icke strikt princip Innehåller den minst strikta uppsättningen principer Måttligt strikt princip Innehåller en måttligt strikt uppsättning principer Strikt princip Innehåller den striktaste uppsättningen principer Du kan göra det du vill av följande: Godkänna principkonfigureringen i standardprincipuppsättningarna. Skapa, uppdatera eller ta bort principuppsättningar. Anpassa eller ta bort ett exempel på en principuppsättning. För mer information om inställning av dina principer, välj Control Console Web Protection Principer. Klicka på Ny och följ instruktionerna i Hjälp. Länk till schemaläggning av principer Länken till schemaläggning av principer tillåter kunden att fastställa olika principer eller regler för sina användare vid olika tidpunkter under dagen eller dagar i veckan. Olika platser kan, till exempel, vara tillåtna under lunchtid snarare än under arbetstid. För att ställa in dagar och tidpunkter som ger kunder åtkomst till specifika platser, välj länken Control Console Web Protection Principer Schemaläggning av principer och följ instruktionerna i Hjälp. Analyser Fliken Webbanalyser kan användas av kundadministratörer för att undersöka loggdata och granska tjänsten. Administratörer kan filtrera, sortera och exportera data från loggfilerna för att bestämma specifikt beträffande några eller alla användare, den resulterande åtgärden, bandbreddsanvändningen, virusavkänning osv. Data kan filtreras efter datum, användare, kategori, resulterande åtgärd och mer, och de kan sorteras enligt det som passar bäst. Den här funktionen ger den mest detaljerade data som finns tillgänglig för en kund angående webbfiltreringstjänsten. Mer information om hur du anger filter och sorterar sökningar finns under Analys. Välj Control Console Web Protection Analys. Följ instruktionerna under Hjälp. McAfee SaaS Web Protection Service Installationsguide 25

26 5 Ställa in principuppsättningar Analyser 26 McAfee SaaS Web Protection Service Installationsguide

27 6 Optimera WDS Connector för större installationer För kunder med fler än 500 klienter rekommenderar McAfee att konfigurera WDS Connector till att använda fler auktoriseringsbarn än de fem som är standard. Konfigurera proxyn för många klienter För att konfigurera för många klienter använder du konfigurationsfilen squid (squid.conf) som styr vad proxyn för WDS Connector gör. Kunder med ett stort antal klienter Använd en textredigerare (till exempel notepad), öppna filen squid.conf (standardplatsen är c: \program files\wds connector\wds connector proxy\etc\squid.conf) och ersätt auth_param ntlm children 5 med auth_param ntlm children 25 (Kontrollera att det inte finns ett # före posten.) Du måste starta om WDS Connector för att ändringarna ska börja gälla. Det här antalet kan ökas till 100 utan problem. Det anger antalet NTLM autentiseringar som kan ske samtidigt. McAfee SaaS Web Protection Service Installationsguide 27

28 6 Optimera WDS Connector för större installationer Konfigurera proxyn för många klienter 28 McAfee SaaS Web Protection Service Installationsguide

29 SEWS-WDS-SG-7.2.0B32