SSLInspect - 版本历史

2023年5月2日 (二) 06:17 WFilter

2023-05-02T06:17:21Z

2021年6月11日 (五) 01:35 WFilter

2021-06-11T01:35:44Z

WFilter：/* 注意事项 */

2021-05-31T03:57:03Z

‎注意事项

WFilter：/* 注意事项 */

2021-05-31T03:56:17Z

‎注意事项

WFilter：/* 注意事项 */

2019-10-08T02:14:52Z

‎注意事项

2018年12月3日 (一) 09:17 WFilter

2018-12-03T09:17:16Z

WFilter：/* 注意事项 */

2018-11-30T09:41:06Z

‎注意事项

WFilter：/* HTTPS监控 */

2018-11-30T09:40:19Z

‎HTTPS监控

WFilter：/* 证书配置 */

2018-11-30T09:39:36Z

‎证书配置

WFilter：创建页面，内容为“{{DISPLAYTITLE:SSL监控}} == SSL监控模块 == SSL监控模块用于对HTTPS网站、SSL邮件（SSL加密的SMTP、POP3、IMAP）的传输内容进行监控。...”

2018-11-30T09:37:10Z

创建页面，内容为“{{DISPLAYTITLE:SSL监控}} == SSL监控模块 == SSL监控模块用于对HTTPS网站、SSL邮件（SSL加密的SMTP、POP3、IMAP）的传输内容进行监控。...”

新页面

{{DISPLAYTITLE:SSL监控}}
== SSL监控模块 ==

SSL监控模块用于对HTTPS网站、SSL邮件（SSL加密的SMTP、POP3、IMAP）的传输内容进行监控。配置了“SSL监控”功能后，您可以实现：
* 记录HTTPS网页的内容、发帖内容。
* 记录SSL邮件内容。
* 对SSL邮件进行黑白名单过滤。
* 对HTTPS内容进行过滤（比如：禁止HTTPS网站的下载格式、禁止HTTPS网站上传文件等）。

== SSL监控策略配置 ==

* 监控服务
** Web：443端口的HTTPS通讯。
** POP3：995端口的SSL POP3接收邮件。
** IMAP：993端口的SSL IMAP接收邮件。
** SMTP：465,587,994端口的SSL SMTP发送邮件。
** 其他端口：需要监控的其他自定义端口。
* 远程IP，要进行SSL监控的远程地址，支持两种方式：
** 排除下列IP段，排除下表中的IP段或者域名。
** 只包含下列IP段，只包含下表中的IP段或者域名。
** 格式：每行一个IP段或者域名，如：192.168.1.100,192.168.1.0/24,172.10.0.0/16,*.google.com

[[文件:sslinspector_01.png|800px]]

== 证书配置 ==

* 该证书会用于在“SSL监控”中替换服务端的原始证书，用于SSL拦截。
* HTTPS监控启用时，客户端的浏览器会出现证书告警，您可以下载该证书并导入到客户机的“受信任的根证书颁发机构”，从而使客户机浏览器不再出现证书告警。
* 如果您想生成自己的证书，可以点击“修改证书”。

[[文件:sslinspector_02.png|600px]]

SSL监控基于中间人拦截的技术，会把原来的SSL访问重定向至WFilter的SSL服务，并且把替换掉原始的SSL证书，从而实现拦截和监控。该功能虽然可以解密SSL通讯，但是存在如下不足之处：
* 性能和速度问题：由于WFilter NGF作为中间人进行拦截，必然会造成一定的延迟。参见：[[SSL_Performance|SSL监控性能测试]]
* 证书警告，启用https监控时，浏览器会出现证书警告（SSL邮件监控没有此问题）。

可以下载该证书并导入到客户机的“受信任的根证书颁发机构”，从而使客户机浏览器不再出现证书告警。步骤如下：

=== HTTPS监控 ===
* 未安装证书时，会提示证书警告，可以选择“继续浏览此网站”继续浏览，访问的内容将被记录。
[[文件:Wfrecorder_cert_01.png|600px]]

如果需要去掉该告警信息，需要下载并导入证书，步骤如下。
* 下载证书
[[文件:Wfrecorder_cert_02.png|450px]]
* 导入证书。双击ca.crt文件，点击“安装证书”，点击“下一步”，选择“将所有的证书放入下列存储”，并选择“受信任的根证书颁发机构”。
[[文件:Wfrecorder_cert_03.png|450px]]
* 再次访问https站点，不再出现证书告警。
[[文件:Wfrecorder_cert_04.png|600px]]
* 此次https访问的页面标题被记录。
[[文件:Wfrecorder_cert_05.png|600px]]

=== SSL邮件监控 ===

邮件客户端配置一般有三种方式：
* 不加密，无需启用“SSL邮件监控”即可直接记录。
* STARTTLS，无法实现监控，即使启用了“SSL监控”也不能记录。
* SSL/TLS（此链接需要SSL加密），必须启用“SSL监控”才可以记录。

以Mozilla Thunderbird为例：

[[文件:Wfrecorder_ssl_01.png]]

请注意：如需记录https网站的web邮件，您需要对此网站启用“SSL监控”。

=== 注意事项 ===
* 财务对https网站的安全要求比较高，建议不要对财务的IP开启SSL监控。

←上一版本		2021年6月11日 (五) 01:35的版本
第70行：		第70行：
	* 网关模式多wan口情况下，SSL监控的流量只走接口跃点数最低的wan口，不参与负载均衡。		* 网关模式多wan口情况下，SSL监控的流量只走接口跃点数最低的wan口，不参与负载均衡。
	* SSL监控的应用对象不能为“未分组用户”和虚拟组，必须是常规组。		* SSL监控的应用对象不能为“未分组用户”和虚拟组，必须是常规组。
		+	* 一些app需要校验证书，导致app不能正常使用。这种情况，可以通过配置“排除下列IP段”来绕开该app需要连接的网站。

@@ 第69行： / 第69行： @@
 * 在网桥部署模式下启用SSL监控不支持Trunk（vlan tagged）端口，网桥所在端口必须是Access模式。
 * 网关模式多wan口情况下，SSL监控的流量只走接口跃点数最低的wan口，不参与负载均衡。
-* SSL监控不能对“未分组用户”生效。
+* SSL监控的应用对象不能为“未分组用户”和虚拟组，必须是常规组。

←上一版本		2021年5月31日 (一) 03:56的版本
第69行：		第69行：
	* 在网桥部署模式下启用SSL监控不支持Trunk（vlan tagged）端口，网桥所在端口必须是Access模式。		* 在网桥部署模式下启用SSL监控不支持Trunk（vlan tagged）端口，网桥所在端口必须是Access模式。
	* 网关模式多wan口情况下，SSL监控的流量只走接口跃点数最低的wan口，不参与负载均衡。		* 网关模式多wan口情况下，SSL监控的流量只走接口跃点数最低的wan口，不参与负载均衡。
		+	* SSL监控不能对“未分组用户”生效。

←上一版本		2019年10月8日 (二) 02:14的版本
第68行：		第68行：
	* 网银站点对https的安全要求比较高，建议不要对财务的IP开启SSL监控。		* 网银站点对https的安全要求比较高，建议不要对财务的IP开启SSL监控。
	* 在网桥部署模式下启用SSL监控不支持Trunk（vlan tagged）端口，网桥所在端口必须是Access模式。		* 在网桥部署模式下启用SSL监控不支持Trunk（vlan tagged）端口，网桥所在端口必须是Access模式。
		+	* 网关模式多wan口情况下，SSL监控的流量只走接口跃点数最低的wan口，不参与负载均衡。

←上一版本		2018年11月30日 (五) 09:41的版本
第66行：		第66行：

	=== 注意事项 ===		=== 注意事项 ===
−	* ~~财务对https网站的安全要求比较高，建议不要对财务的IP开启SSL监控。~~	+	* 网银站点对https的安全要求比较高，建议不要对财务的IP开启SSL监控。

@@ 第3行： / 第3行： @@
 SSL监控模块用于对HTTPS网站、SSL邮件（SSL加密的SMTP、POP3、IMAP）的传输内容进行监控。配置了“SSL监控”功能后，您可以实现：
-* 记录HTTPS网页的内容、发帖内容。
+* 记录HTTPS网页的URL地址、页面标题、网页粘贴内容（发帖内容）。
 * 记录SSL邮件内容。
 * 对SSL邮件进行黑白名单过滤。

@@ 第65行： / 第65行： @@
 请注意：如需记录https网站的web邮件，您需要对此网站启用“SSL监控”。
-=== 注意事项 ===
+== 注意事项 ==
 * 网银站点对https的安全要求比较高，建议不要对财务的IP开启SSL监控。

@@ 第44行： / 第44行： @@
 如果需要去掉该告警信息，需要下载并导入证书，步骤如下。
 * 下载证书
-[[文件:Wfrecorder_cert_02.png|450px]]
+[[文件:ssl_inspector03.png|450px]]
 * 导入证书。双击ca.crt文件，点击“安装证书”，点击“下一步”，选择“将所有的证书放入下列存储”，并选择“受信任的根证书颁发机构”。
 [[文件:Wfrecorder_cert_03.png|450px]]

@@ 第28行： / 第28行： @@
 * HTTPS监控启用时，客户端的浏览器会出现证书告警，您可以下载该证书并导入到客户机的“受信任的根证书颁发机构”，从而使客户机浏览器不再出现证书告警。
 * 如果您想生成自己的证书，可以点击“修改证书”。
-[[文件:sslinspector_02.png|600px]]
+[[文件:sslinspector_02.png|800px]]
 SSL监控基于中间人拦截的技术，会把原来的SSL访问重定向至WFilter的SSL服务，并且把替换掉原始的SSL证书，从而实现拦截和监控。该功能虽然可以解密SSL通讯，但是存在如下不足之处：