零信任

张月 36

{{ttag.title}}
客户的态势感知上发现有利用零信任攻击内网的日志,但是只能捕捉到http的报文,看不到https的,然后就想在零信任上下功夫看看能不能实现,然后就在堡垒机资源的代理设置里面勾选了将标准隧道改为https隧道,但是勾选了这个之后访问ssh又有点问题了,堡垒机可以访问,但是堡垒机下面的应用访问不了了,家人们,还有什么好办法吗

解决该疑问,预计可以帮助到 17609 人!

回帖即可获得
2S豆
,被楼主采纳即奖励20S豆+10分钟内回帖奖励10S豆 [已过期] ,了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

王老师 发表于 2025-7-18 10:20
  
HTTPS报文捕获:零信任网关的深度集成方案
零信任网关的SSL/TLS解密功能
原理:零信任网关需作为中间人(MITM)解密HTTPS流量,将加密流量还原为明文后进行分析。
操作:
在零信任控制台启用SSL解密策略,上传网关的CA根证书至客户端信任库(如浏览器、终端设备)。
配置解密范围(如仅针对内网应用域名或IP段),避免解密不必要的公网流量。
效果:解密后的流量会以HTTP形式呈现于态势感知平台,同时保持终端与网关间的加密通信。
王老师 发表于 2025-7-18 10:21
  
代理链优化:零信任+堡垒机协同
问题根源:直接修改隧道类型可能导致协议不兼容(如SSH依赖TCP直连,而HTTPS隧道可能封装为HTTP)。
解决方案:
分层代理:
终端 → 零信任客户端(SSL解密) → 零信任网关(HTTP明文) → 堡垒机(SSH代理)。
在堡垒机配置双隧道模式:
标准隧道:用于SSH等TCP协议,保持直连性能。
HTTPS隧道:仅用于Web应用访问,避免协议混淆。
工具支持:使用支持协议识别的代理工具(如Nginx、Squid)分流流量。
小鱼儿 发表于 2025-7-18 14:44
  
HTTPS流量解密与监控方案
1. 中间人解密(MITM)方案
部署SSL/TLS解密代理:

在零信任网关或堡垒机部署解密代理(如Nginx反向代理、F5 BIG-IP、Palo Alto防火墙等)

配置SSL证书:

生成内部CA根证书

在零信任网关上安装中间证书

将根证书分发到所有终端设备(需提前获得授权)

解密后流量可被态势感知系统分析

零信任组件集成:

检查零信任产品(如Zscaler、Netskope)是否支持内置解密功能

启用「HTTPS Inspection」功能并配置例外策略(避免敏感站点解密)

2. 被动解密方案
流量镜像+离线解密:

通过端口镜像将流量复制到解密设备

使用工具(如Zeek、Suricata)配合预置私钥解密历史流量

要求:需提前在服务器端保存TLS会话密钥(配置SSLKEYLOGFILE)

等我来答:

换一批

发表新帖
热门标签
全部标签>
每日一问
新版本体验
纪元平台
GIF动图学习
功能体验
标准化排查
安全效果
产品连连看
安装部署配置
高手请过招
社区新周刊
测试报告
【 社区to talk】
每周精选
信服课堂视频
答题自测
技术笔记
西北区每日一问
畅聊IT
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
日志审计
问题分析处理
流量管理
每日一记
运维工具
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
技术晨报
平台使用
技术盲盒
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案

本版达人