中间人代理解密

准入客户端代理解密

要求

无PC系统要求、需要安装证书

windows系统的用户、需安装客户端、需要安装证书

推送方式

1．AD域、桌管软件、准入客户端推送安装证书，用户无感知

2．未安装证书用户，访问网页时触发重定向到证书安装页面，引导下载证书安装工具

1．准入客户端静默安装，用户没有感知

2．AD域、桌管软件、准入客户端推送安装证书，用户无感知

3．未安装证书用户，访问网页时触发重定向到证书安装页面，引导下载安装工具

优点

无需安装客户端，无PC系统要求

无需消耗AC性能，审计内容更加丰富

注意

基于网页分类解密需要消耗更多CPU资源，建议自定义域名进行解密，以减少过多流量解密造成对性能下降。

有全解密需求可以使用带硬件加速卡的硬件型号设备，硬件加速卡解密性能相比软件解密性能提升一倍，具体型号可以联系深信服各区域办事处或深信服渠道合作伙伴进行了解。

通用

HTTPS解密功能配置在自定义填写域名列表的情况下，域名列表中不支持IP地址。

HTTPS解密功能在使用的时候需要在终端上安装设备证书到受信任的根证书颁发机构。

HTTPS解密不支持QUIC协议。建议勾选“解密审计时，拒绝QUIC协议”。

HTTPS解密功能与SSL VPN的Easy connect协议存在冲突，在开启了HTTPS解密功能的情况下，终端上如果需要使用Easy connect通过SSL VPN访问总部资源，需要在AC设备的SSL全局解密的排除列表中排除掉SSL VPN服务器地址，否则会出现连接中断问题。

该功能需要开通[多功能项授权/SSL内容识别授权]。

当SSL中间人解密和准入客户端代理解密同时配置时，策略列表从上往下匹配，仅匹配到的第一条生效。

若终端为虚拟机，不建议使用准入客户端代理解密，可使用SSL中间人解密。

客户端

当开启需要PC安装准入客户端，目前只支持Windows系统（XP系统不支持）。Mac系统和Linux系统可使用SSL中间人进行解密。

代理客户端默认只对443端口进行解密。

客户端的证书和SSL内容识别的证书是不同的证书。

中间人解密

HTTPS解密支持设备本身做代理的场景，但是只支持HTTPS代理、不支持SOCKS代理，客户端解密方案不支持在代理场景使用。

存在证书双向校验的场景下，不能使用HTTPS解密功能，否则会存在客户端校验失败导致连接出错问题。

如果终端的DNS请求数据不经过设备或者终端访问的HTTPS网站是直接以IP地址进行访问的，则不支持HTTPS解密功能。