Temas Relacionados
Mejores Prácticas para WebBlocker
Siga estas mejores prácticas para optimizar la efectividad y el rendimiento de WebBlocker.
Configuración de la política
Utilice WebBlocker para políticas de proxy de HTTP y HTTPS salientes. También puede utilizar WebBlocker en un proxy TCP-UDP para categorizar sitios en puertos que no sean 80 y 443.
Excepciones de WebBlocker
Para obtener el mejor rendimiento, WatchGuard recomienda definir Excepciones de WebBlocker como expresiones regulares. Cuando utilice una coincidencia de patrón o una coincidencia exacta, el dispositivo Firebox debe convertirla a una expresión regular antes de que evalúe cada sitio. Cuando use una expresión regular, este paso no será necesario y la búsqueda de WebBlocker se realizará más rápidamente. Para conocer más información e instrucciones de configuración, consulte el artículo básico de conocimientos Usar expresiones regulares en definiciones proxy.
WebBlocker no evalúa la cadena de consulta (cualquier texto posterior al símbolo de interrogación) para una solicitud HTTP. Puede utilizar la configuración de Rutas URL del proxy HTTP para rechazar una consulta específica. Para obtener más información sobre cómo rechazar rutas específicas con Proxy HTTP, consulte Solicitud HTTP: Rutas de URL.
Para crear una excepción de WebBlocker para tráfico en un puerto no estándar, consulte el artículo Agregar una excepción de WebBlocker para tráfico en puertos no estándares en la Base de Consulta.
Excepciones de Proxy HTTP o Excepciones de WebBlocker
Cuando configure una política de proxy HTTP con WebBlocker, es importante entender que las Excepciones de Proxy HTTP solo se aplican al contenido de los sitios a los que los usuarios acceden a través del proxy. Las Excepciones de WebBlocker solo impactan cuando un sitio se encuentra denegado por WebBlocker.
Una entrada de Excepciones de Proxy HTTP para un sitio no impide que WebBlocker lo deniegue, y una excepción de WebBlocker no tiene impacto para que la acción de Proxy HTTP cambie o elimine el contenido recibido por el usuario.
Permitir Acceso solo a Sitios Web Específicos
Si tiene planeado permitir solamente el acceso del usuario a sitios específicos con el Proxy HTTP, no es necesario utilizar WebBlocker. Puede configurar el Proxy HTTP para permitir solamente rutas específicas en la solicitud HTTP. Para obtener más información, vea Solicitud HTTP: Rutas de URL.
WebBlocker sobre HTTPS sin Inspección de Contenido
WebBlocker examina tanto los campos de Indicación de Nombre de Servidor (SNI) como los de Nombre Común (CN) durante el intercambio de certificados para determinar la dirección web. Esto permite que WebBlocker pueda identificar con éxito el dominio o subdominio de un sitio que debe permitir o denegar.
Selección de Servidor y DNS
Para optimizar el rendimiento de WebBlocker Cloud, consulte el artículo de la base de consulta Optimizar el Rendimiento de WebBlocker.
Conexiones de WebBlocker para Búsquedas de URL
WebBlocker Cloud crea una conexión HTTP a uno de 15 centros de datos en todo el mundo para la categorización de URL.
Para obtener más información, consulte Cambiar las Categorías de WebBlocker a Negar.
Solución de problemas de WebBlocker
WebBlocker puede generar mensajes de registro que son útiles para la solución de problemas. Si no ve mensajes de registro de sitios que WebBlocker deniega, asegúrese de que la generación de registros esté habilitada en la acción de WebBlocker usada por su acción de proxy HTTP.
Para habilitar la generación de registros en la acción de WebBlocker:
- Edite la acción de WebBlocker utilizada por la acción de proxy HTTP.
- En la acción de WebBlocker, seleccione la pestaña Categorías.
- Para enviar un mensaje de registro cuando un usuario intenta visitar un sitio en una categoría o subcategoría y se le niega, marque la casilla de selección correspondiente en la columna Registro.
- Para enviar un mensaje de registro cuando un usuario intenta visitar un sitio sin categorizar, a un lado de la lista desplegable Cuando un URL no está categorizada, marque la casilla de selección Registrar esta Acción.
Para obtener más información, consulte Cambiar las Categorías de WebBlocker a Negar.
Para solucionar problemas de WebBlocker, primero debe comprender el alcance del problema:
- ¿Tiene impacto solamente en sitios específicos o en todo el tráfico de la Web?
- ¿El problema permite o deniega el acceso a sitios de forma incorrecta?
Problemas que Afectan Solo a Sitios Específicos
Si nota que algunos sitios se denegaron, o no se denegaron, incorrectamente esto puede deberse a una serie de causas posibles:
- Esto puede ocurrir si el sitio no corresponde a la categoría que esperaba. Para saber cómo probar a qué categoría corresponde un sitio y cómo sugerir un cambio, visite el Portal de Seguridad de WatchGuard. Recuerde que siempre puede crear una excepción de WebBlocker para permitir o denegar un sitio en caso de que no desee cambiar la manera en que maneja la categoría completa.
Cuando se permite o bloquea un sitio según la categoría, es posible que los registros de tráfico contengan un mensaje como este:
Allow 1-Trusted 0-External tcp 10.0.1.2 8.25.35.115 51859 80 msg="ProxyAllow: HTTP Request categories" proxy_act="HTTP-Client.2" cats="Reference Materials" op="GET" dstname="www.walkscore.com" arg="/" (HTTP-proxy-00)
- Esto puede ocurrir si no tiene habilitado WebBlocker para un Proxy HTTPS. Los sitios web con acceso por HTTPS no serán denegados.
- Esto puede ocurrir si tiene habilitado WebBlocker para HTTPS, sin embargo, no utilice la inspección de contenido en esas acciones de Proxy HTTPS. Para obtener más información, consulte este problema común: Es posible que WebBlocker no logre denegar sitios HTTPS con certificados comodín.
Problemas que Afectan a Todos los Sitios
Si todo el tráfico del usuario es permitido o todo es rechazado, existen varias causas que se deben considerar:
- Es posible que la configuración de políticas sea incorrecta. Asegúrese de que el tráfico web del usuario se maneje por una política correcta de proxy HTTP, HTTPS o TCP-UDP para la acción de WebBlocker.
- Si usa WebBlocker Cloud, es posible que el Firebox no pueda acceder al servidor o que no reciba una respuesta a tiempo. Para obtener más información sobre cómo resolver algunos problemas comunes de conexión para WebBlocker Cloud, consulte Optimizar el Rendimiento de WebBlocker.
- Si usa el WebBlocker Server local, asegúrese de que el servidor esté en funcionamiento y pueda responder.
Si el WebBlocker Server se encuentra inactivo o WebBlocker tiene una dirección IP incorrecta en la configuración, es posible que vea un mensaje de registro como el siguiente:
Deny 2-Internal-traffic 4-External-traffic tcp 10.0.1.8 192.168.53.92 57525 80 msg="ProxyDrop: HTTP Service unavailable" proxy_act="HTTP-Client.1" service="WebBlocker.1" details="Webblocker server is not available" (HTTP-proxy-00)
Ver también
Importar o Exportar Excepciones de WebBlocker
Activación de WebBlocker