其實一直以來，基于代理的防火墻或Web代理都被認為是一種非常重要的安全組件。但問題就在于，這種類型的代理針對可以幫助用戶保證他們的安全嗎?

[[319821]]

那么在這篇文章中，我們將對基于代理的防火墻進行討論，討論內容將涉及到相關的短板和技術壁壘，并給出新一代的安全解決方案。

第一代基于代理的防火墻實現(xiàn)了控制用戶可以訪問哪些網(wǎng)站的基本任務。從那個時候開始，這項技術一直都在經(jīng)歷著不斷地發(fā)展和演變，并且還增添了類似惡意軟件檢測和攔截、在線數(shù)據(jù)丟失防御(DLP)、SSL/TLS流量檢查和帶寬控制等強大且實用的功能。

但現(xiàn)實就在于，Web代理存在著明顯的缺陷，而這些明顯的安全缺陷導致基于代理的防火墻或Web代理最終無法成為有效的安全防護工具。

接下來，我們將從以下幾個方面來對基于代理的防火墻或Web代理進行探討。

一、實現(xiàn)

由于基于代理的防火墻其實現(xiàn)方式以及具體的技術實現(xiàn)細節(jié)，導致了它無法成功地保護目標設備中所有的網(wǎng)絡流量。在云端部署一個基于代理的防火墻時，最常用的技術就是使用代理自動配置(PAC)文件或在用戶的操作系統(tǒng)和瀏覽器設置中顯式地指定代理服務器地址。

PAC文件可以使用JavaScript函數(shù)來確定通過顯式指定的代理服務器或直接向Internet所發(fā)送流量的位置。在這里，顯式代理部署主要通過代理服務器發(fā)送所有瀏覽器流量。

這兩種部署方式的主要問題就在于：

1、并非所有的應用程序都是代理可識別的，有些應用程序會忽略代理服務器的相關系統(tǒng)配置，并且總是會繞過代理然后直接發(fā)送它們的網(wǎng)絡流量。

2、有些聰明的用戶會選擇使用VPN、服務器端瀏覽器(如Puffin瀏覽器)、匿名和加密瀏覽器(如Tor瀏覽器)或其他方法輕松繞過代理服務器。

二、效率

從設計之初，基于代理的防火墻壓根就不是用來面對和處理現(xiàn)代安全威脅的，因為它們只能檢查有限的協(xié)議，如HTTP、HTTPS、FTP和DNS。這意味著，僅僅使用Web代理的話，將有可能導致通信流量中出現(xiàn)明顯的掃描檢測盲點，并且無法識別非標準端口上的或跨多個協(xié)議的應用程序和安全威脅。除此之外，有些應用程序根本就不兼容代理，所以肯定會被繞過。

一種新的方法-安全訪問服務邊緣(SASE)

Secure access service edge (SASE)，即安全訪問服務邊緣模型，它可以給用戶提供對Internet、SaaS應用程序和私有托管應用程序的完全零信任訪問，而這種模型方案正逐漸成為解決傳統(tǒng)Web代理技術短板的一種全新的解決方案。一個真正的SASE解決方案結合了從云端提供的網(wǎng)絡服務和安全服務，這種方案將涵蓋多種技術，例如云訪問安全代理(CASB)、零信任網(wǎng)絡訪問(ZTNA)、防火墻即服務(FWaaS)和高級威脅預防等等。

SASE產(chǎn)品在云環(huán)境中運行，允許我們對用戶流量進行更多的控制，而且可見性更加高，以便開發(fā)人員對其進行動態(tài)擴展。因此，SASE允許在單一節(jié)點和分支中使用多種技術，如IPSec或SSL VPN，從而允許我們對所有流量進行從始至終的安全強制管理。接下來，操作策略就變成了業(yè)務決策，而不是由于技術限制所被迫做出的妥協(xié)。

選擇一個基于云的安全合作伙伴并不是一個隨便拍拍腦袋就可以做的決定，在購買服務之前我們應該仔細考慮任何可能的技術、方法、規(guī)模和有效性。因此，我們應該選擇的是那些能夠為組織中所有流量、所有用戶和所有應用程序提供必要安全性和網(wǎng)絡服務的解決方案。