零信任

客户的态势感知上发现有利用零信任攻击内网的日志，但是只能捕捉到http的报文，看不到https的，然后就想在零信任上下功夫看看能不能实现，然后就在堡垒机资源的代理设置里面勾选了将标准隧道改为https隧道，但是勾选了这个之后访问ssh又有点问题了，堡垒机可以访问，但是堡垒机下面的应用访问不了了，家人们，还有什么好办法吗

HTTPS报文捕获：零信任网关的深度集成方案
零信任网关的SSL/TLS解密功能
原理：零信任网关需作为中间人（MITM）解密HTTPS流量，将加密流量还原为明文后进行分析。
操作：
在零信任控制台启用SSL解密策略，上传网关的CA根证书至客户端信任库（如浏览器、终端设备）。
配置解密范围（如仅针对内网应用域名或IP段），避免解密不必要的公网流量。
效果：解密后的流量会以HTTP形式呈现于态势感知平台，同时保持终端与网关间的加密通信。

代理链优化：零信任+堡垒机协同
问题根源：直接修改隧道类型可能导致协议不兼容（如SSH依赖TCP直连，而HTTPS隧道可能封装为HTTP）。
解决方案：
分层代理：
终端 → 零信任客户端（SSL解密） → 零信任网关（HTTP明文） → 堡垒机（SSH代理）。
在堡垒机配置双隧道模式：
标准隧道：用于SSH等TCP协议，保持直连性能。
HTTPS隧道：仅用于Web应用访问，避免协议混淆。
工具支持：使用支持协议识别的代理工具（如Nginx、Squid）分流流量。

HTTPS流量解密与监控方案
1. 中间人解密（MITM）方案
部署SSL/TLS解密代理：

在零信任网关或堡垒机部署解密代理（如Nginx反向代理、F5 BIG-IP、Palo Alto防火墙等）

配置SSL证书：

生成内部CA根证书

在零信任网关上安装中间证书

将根证书分发到所有终端设备（需提前获得授权）

解密后流量可被态势感知系统分析

零信任组件集成：

检查零信任产品（如Zscaler、Netskope）是否支持内置解密功能

启用「HTTPS Inspection」功能并配置例外策略（避免敏感站点解密）

2. 被动解密方案
流量镜像+离线解密：

通过端口镜像将流量复制到解密设备

使用工具（如Zeek、Suricata）配合预置私钥解密历史流量

要求：需提前在服务器端保存TLS会话密钥（配置SSLKEYLOGFILE）

HTTPS报文捕获：零信任网关的深度集成方案
零信任网关的SSL/TLS解密功能
原理：零信任网关需作为中间人（MITM）解密HTTPS流量，将加密流量还原为明文后进行分析。
操作：
在零信任控制台启用SSL解密策略，上传网关的CA根证书至客户端信任库（如浏览器、终端设备）。
配置解密范围（如仅针对内网应用域名或IP段），避免解密不必要的公网流量。
效果：解密后的流量会以HTTP形式呈现于态势感知平台，同时保持终端与网关间的加密通信。

对于溯源的需求，首先建议开启虚拟IP，通过攻击日志中的虚拟IP快速定位到用户。
对于HTTPS场景，一般你要考虑你内网PC直接攻击HTTPS业务，能否看到，建议解决内网场景直接访问情况态势感知的检测，零信任自然就没问题了。
对于隧道转HTTPS，你可以试试建两个堡垒机资源，一个443端口开启这个选项，其他端口放别的资源不开启这个选项试试。
对于https业务，零信任如果配置WEB资源，是可以看到请求与响应内容的，但是堡垒机场景是不建议的。如果你想试试可以参考一下本模块置顶帖WEB资源相关。
总之，如果强行想试试可以参考下上面的思路，但是考虑到安全运营的全面性，此场景和零信任关系不大，零信任开启虚拟IP后易于溯源即可。