其實(shí)一直以來，基于代理的防火墻或Web代理都被認(rèn)為是一種非常重要的安全組件。但問題就在于，這種類型的代理針對可以幫助用戶保證他們的安全嗎？

那么在這篇文章中，我們將對基于代理的防火墻進(jìn)行討論，討論內(nèi)容將涉及到相關(guān)的短板和技術(shù)壁壘，并給出新一代的安全解決方案。

第一代基于代理的防火墻實(shí)現(xiàn)了控制用戶可以訪問哪些網(wǎng)站的基本任務(wù)。從那個時候開始，這項(xiàng)技術(shù)一直都在經(jīng)歷著不斷地發(fā)展和演變，并且還增添了類似惡意軟件檢測和攔截、在線數(shù)據(jù)丟失防御（DLP）、SSL/TLS流量檢查和帶寬控制等強(qiáng)大且實(shí)用的功能。

但現(xiàn)實(shí)就在于，Web代理存在著明顯的缺陷，而這些明顯的安全缺陷導(dǎo)致基于代理的防火墻或Web代理最終無法成為有效的安全防護(hù)工具。

接下來，我們將從以下幾個方面來對基于代理的防火墻或Web代理進(jìn)行探討。

一、實(shí)現(xiàn)

由于基于代理的防火墻其實(shí)現(xiàn)方式以及具體的技術(shù)實(shí)現(xiàn)細(xì)節(jié)，導(dǎo)致了它無法成功地保護(hù)目標(biāo)設(shè)備中所有的網(wǎng)絡(luò)流量。在云端部署一個基于代理的防火墻時，最常用的技術(shù)就是使用代理自動配置（PAC）文件或在用戶的操作系統(tǒng)和瀏覽器設(shè)置中顯式地指定代理服務(wù)器地址。

PAC文件可以使用JavaScript函數(shù)來確定通過顯式指定的代理服務(wù)器或直接向Internet所發(fā)送流量的位置。在這里，顯式代理部署主要通過代理服務(wù)器發(fā)送所有瀏覽器流量。

這兩種部署方式的主要問題就在于：

1、并非所有的應(yīng)用程序都是代理可識別的，有些應(yīng)用程序會忽略代理服務(wù)器的相關(guān)系統(tǒng)配置，并且總是會繞過代理然后直接發(fā)送它們的網(wǎng)絡(luò)流量。

2、有些聰明的用戶會選擇使用VPN、服務(wù)器端瀏覽器（如Puffin瀏覽器）、匿名和加密瀏覽器（如Tor瀏覽器）或其他方法輕松繞過代理服務(wù)器。

二、效率

從設(shè)計(jì)之初，基于代理的防火墻壓根就不是用來面對和處理現(xiàn)代安全威脅的，因?yàn)樗鼈冎荒軝z查有限的協(xié)議，如HTTP、HTTPS、FTP和DNS。這意味著，僅僅使用Web代理的話，將有可能導(dǎo)致通信流量中出現(xiàn)明顯的掃描檢測盲點(diǎn)，并且無法識別非標(biāo)準(zhǔn)端口上的或跨多個協(xié)議的應(yīng)用程序和安全威脅。除此之外，有些應(yīng)用程序根本就不兼容代理，所以肯定會被繞過。

一種新的方法-安全訪問服務(wù)邊緣（SASE）

Secure access service edge （SASE），即安全訪問服務(wù)邊緣模型，它可以給用戶提供對Internet、SaaS應(yīng)用程序和私有托管應(yīng)用程序的完全零信任訪問，而這種模型方案正逐漸成為解決傳統(tǒng)Web代理技術(shù)短板的一種全新的解決方案。一個真正的SASE解決方案結(jié)合了從云端提供的網(wǎng)絡(luò)服務(wù)和安全服務(wù)，這種方案將涵蓋多種技術(shù)，例如云訪問安全代理（CASB）、零信任網(wǎng)絡(luò)訪問（ZTNA）、防火墻即服務(wù)（FWaaS）和高級威脅預(yù)防等等。

SASE產(chǎn)品在云環(huán)境中運(yùn)行，允許我們對用戶流量進(jìn)行更多的控制，而且可見性更加高，以便開發(fā)人員對其進(jìn)行動態(tài)擴(kuò)展。因此，SASE允許在單一節(jié)點(diǎn)和分支中使用多種技術(shù)，如IPSec或SSL VPN，從而允許我們對所有流量進(jìn)行從始至終的安全強(qiáng)制管理。接下來，操作策略就變成了業(yè)務(wù)決策，而不是由于技術(shù)限制所被迫做出的妥協(xié)。

選擇一個基于云的安全合作伙伴并不是一個隨便拍拍腦袋就可以做的決定，在購買服務(wù)之前我們應(yīng)該仔細(xì)考慮任何可能的技術(shù)、方法、規(guī)模和有效性。因此，我們應(yīng)該選擇的是那些能夠?yàn)榻M織中所有流量、所有用戶和所有應(yīng)用程序提供必要安全性和網(wǎng)絡(luò)服務(wù)的解決方案。

責(zé)任編輯：ct