提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

【AC】放通特殊应用访问外网权限

|

问题描述

金融客户对上网权限管控严格,通常情况下之职场员工无法使用即时通讯类应用与外网交流,如有特殊情况,也许向相关管理员申请权限。客户有时候会有些需要管控的应用未收录在AC的规则库中,且不了解这个应用具体会访问哪些地址哪些端口,因此管控用户只允许使用这些应用时,开放AC的策略会非常棘手。

告警信息

单独放通的自定义应用功能使用不正常

处理过程

使用microsoft network monitor工具,来获取应用正常使用所需要访问的IP地址和端口信息;由于有的应用可能会访问指定域名,故可以使用另外一个工具Progress Telerik Fiddler Web Debugger来获取。获取到需放通的域名和IP地址后,到AC上自定义一个应用,再根据需求允许访问该应用即可。
测试用例:【微信开放者工具】

下载辅助工具(附下载地址):
1. 【microsoft network monitor】https://www.microsoft.com/en-us/download/details.aspx?id=4865
2. 【Progress Telerik Fiddler Web Debugger】

3. 先打开Fiddler工具:如图页面
该工具可以查看进程所访问的host以及url、协议等信息

4. 打开需要测试的应用,以微信开放者工具为例
微信开发者工具打开后,即可在Fiddler工具里看到,该工具访问了这个几个域名,即打开应用获取二维码过程需要与这几个域名进行通信。记录下该域名:
Mp.weixin.qq.com
Long.open.weixin.qq.com
Open.weixxin.qq.com
扫码登陆微信应用开发者工具后
新增了一部分访问的域名
同样记录下。

5. 以4的方式用network monitor进行记录
先打开network monitor,选择需要抓取数据的网卡,新建一个抓包过程
进入该页面后,点击start

在network conversations栏查看微信开发者工具进程

6. 针对应用所需访问的域名和IP,已经收集完成,到AC上进行自定义应用设置,路径【对象定义】-【自定义应用】-【新增】
应用类型,应用名称根据需求填写
数据包方向为lan->wan即可
IP地址为刚刚收集到的IP地址
匹配目标域名为刚刚收集到的域名
点击提交即可。

7. 新建上网权限策略,将拒绝所有的放置在最后一条进行测试,并放通DNS流量,已经刚刚新建的自定义应用访问权限,客户需求即可满足。

8. 最用效果如图,无法使用微信(获取不到登陆二维码),或访问其他网站,只能使用微信开发者工具
在AC日志中心里查看日志,可以看到自定义应用被放通,其余被拦截


根因

特殊应用的需访问的域名或IP地址不明确,需利用其他工具来查找。

解决方案

遇到这些需要放通某个未收录在规则库的应用程序的访问权限的时候,可以利用这两个工具Microsoft Network Monitor 和Progress Telerik Fiddler Web Debugger 来实现,能够快速的定位应用正常使用过程中的网络访问情况,再利用自定义应用放通策略达到限制访问的目的。

建议与总结


我要分享
文档编号: 87921
作者: 新手670839
更新时间: 2019-11-14 14:17
适用版本: