ICAP-серверы

ICAP-сервер — описание внешней DLP-системы на уровне кластера балансировки: адреса проверки запросов и ответов и способ доступа к ним. На ICAP-сервер ссылается блок ICAP/DLP-анализ сервиса в конфигурациях балансировки кластера.

Профиль создаётся на вкладке Главная → Кластеры балансировки → <кластер> → ICAP. Один профиль описывает одну DLP-систему и используется в любом числе конфигураций балансировки кластера.

Поля профиля

• Имя сервера — имя профиля в пределах кластера, до 255 символов. Уникально в кластере: повторное имя система не принимает.
• Описание — произвольный текст до 255 символов для администраторов кластера. Показывается в таблице профилей; пустое значение отображается как «Без описания».
• REQMOD URL — адрес проверки запросов. Обязательное поле, до 2048 символов. Схема только icap://, путь службы обязателен, например icap://icap-dlp.example:1344/reqmod.
• RESPMOD URL — адрес проверки ответов, до 2048 символов. Необязательное поле: если оставить его пустым, передача ответов станет недоступна во всех конфигурациях с этим профилем, и флажок Передавать ответы (RESPMOD) в конфигурации балансировки включить не удастся.
• Авторизация — способ доступа к DLP-системе: Без авторизации, Basic, Bearer. По умолчанию Без авторизации.
• Логин — пользователь для авторизации Basic. Обязателен при этом типе авторизации, до 1024 символов; символ : в имени запрещён.
• Пароль — пароль для авторизации Basic, до 8192 символов. При изменении уже созданного профиля поле пустое — текущий пароль сохраняется.
• Токен — токен для авторизации Bearer, до 8192 символов. При изменении уже созданного профиля поле пустое — текущий токен сохраняется.

При смене типа авторизации поля Логин, Пароль и Токен очищаются, а сохранённый секрет прежнего типа удаляется из профиля.

Требования к адресам

Адрес проверки записывается в виде icap://<хост>[:<порт>]/<путь службы>:

• схема icaps:// не принимается: «схема icaps:// пока не поддерживается. Используйте icap:// и сегментацию сети». Канал до DLP защищают сегментацией сети;
• путь службы обязателен: адрес без пути или с одним / отклоняется;
• порт необязателен: без него используется стандартный порт ICAP 1344, заданный порт должен быть в диапазоне 1–65535;
• проверяется форма адреса, а не совпадение двух адресов между собой: REQMOD URL и RESPMOD URL могут совпадать.

Список профилей

В таблице профилей показаны колонки Имя сервера, Описание, Авторизация, Состояние и Использование. В колонке Использование указано число конфигураций балансировки, ссылающихся на профиль. На странице профиля раздел Связанные сервисы перечисляет эти конфигурации: название со ссылкой, состояние и адрес.

Действия в строке таблицы:

• Редактировать — открыть профиль;
• Проверить — повторить проверку доступности;
• Удалить — удалить профиль. Профиль, на который ссылается хотя бы одна конфигурация балансировки, удалить нельзя: система сообщает «ICAP-сервер используется сервисами».

Профиль, созданный или изменённый через API, может быть выключен. Выключенный профиль нельзя выбрать в конфигурации балансировки, и конфигурация, которая на него ссылается, не сохранится. В интерфейсе выключение недоступно: профили, созданные в нём, всегда включены.

Проверка доступности

Проверка выясняет, отвечает ли DLP-система по заданным адресам и объявляет ли нужные методы. Она запускается автоматически при открытии вкладки ICAP и после каждого изменения профиля; кнопка Проверить повторяет её вручную.

Проверка выполняется одновременно с каждого агента кластера в состоянии READY. Для каждого агента сначала проверяется REQMOD URL, затем RESPMOD URL, если он задан. Агент отправляет на адрес проверки запрос OPTIONS по протоколу ICAP, поэтому результат показывает состояние DLP-системы сейчас, а не на момент последнего обращения трафика. Адрес считается доступным, если получен корректный ответ ICAP, а в заголовке Methods ответа объявлен нужный метод — REQMOD или RESPMOD. Если DLP-система не объявляет Methods, метод не проверяется.

Колонка Состояние показывает метку Доступен или Недоступен. По ней открывается окно «Состояние ICAP-сервера «<имя>»» с результатами по агентам: колонки Агент, Статус и Пояснение. В пояснении приводятся причина и код ответа DLP-системы, если она ответила.

Общий результат проверки и его причины:

Причина сбоя по каждому агенту передаётся и в API: поле error_type содержит unavailable — агент не ответил, dns_error — не удалось определить адрес, connection_refused — DLP-система отклонила соединение, timeout — нет ответа за отведённое время, protocol_error — ответ не соответствует протоколу ICAP, icap_error — DLP-система вернула ошибочный код, unsupported_method — сервис не объявляет нужный метод, connection_error — соединение не установлено, agent_unavailable — не удалось обратиться к агенту, invalid_agent_response — агент вернул некорректный ответ.

Если профиль недоступен с части агентов, инспекция на этих агентах не проходит, а обслуживание клиентов продолжается: трафик уходит без вердикта DLP.

Пример

Профиль DLP-системы с авторизацией Basic, которая проверяет и запросы, и ответы:

• Имя сервера — dlp-basic;
• Описание — Основная DLP-система;
• REQMOD URL — icap://icap-dlp.example:1344/reqmod;
• RESPMOD URL — icap://icap-dlp.example:1344/respmod;
• Авторизация — Basic;
• Логин — icap-service;
• Пароль — задаётся при создании, при чтении не показывается.

Профиль подходит конфигурациям, которые проверяют и запросы, и ответы. Если нужна только проверка запросов, оставьте RESPMOD URL пустым — направление ответов станет недоступно во всех конфигурациях, использующих этот профиль.