本文描述的是診斷網站訪問問題的結構化方法,該方法用於診斷通過基於雲的代理(安全Web網關/SWG)路由時的問題,而不是在使用直接網際網路訪問(DIA)時的問題。
常見的代理干擾指示器包括:
s_proxy(Nginx代理)或m_proxy(模組化代理服務/MPS)的存在可確認流量已代理。openssl s_client -connect www.example.com:443 -showcerts curl來比較行為。當SWG代理無法驗證目標伺服器的證書時,會發生此錯誤。原因包括證書鏈已過期、自簽名或不完整。
技術詳細資訊:如果上游伺服器依靠授權資訊訪問(AIA)獲取丟失的中間證書,Nginx代理可能會失敗,因為Nginx對AIA的處理不如檔案掃描代理服務那麼優雅。在TLS握手期間的SNI和SAN不匹配也會觸發故障。
517錯誤表示SWG代理的CRL或OCSP檢查發現上游伺服器的證書已吊銷。
Cisco Secure Access將引入稱為「證書錯誤處理選項」的新功能,用於無需完全禁用解密的精細錯誤繞過。可以使用此功能而不是廣泛的「不解密」清單來管理由於檢查而觸發證書錯誤的域。
截至今天,此功能在Umbrella SIG中存在。CSA的功能請求詳細資訊。
502錯誤表示SWG代理作為中間伺服器時收到來自上游伺服器的無效響應。
— 下游:使用者端對SWG代理
— 上游:SWG代理到目標伺服器
該錯誤總是出現在上游連線中 — 由於協定錯誤、TCP重置或報頭格式不正確。
原因:伺服器需要SWG不支援的密碼(例如TLS_CHACHA20_POLY1305_SHA256)。
解析度:將該域新增到Selective Decryption清單。
測試命令:
使用代理: curl -x proxy.sig.umbrella.com:80 -v xyz.com:80 curl -x swg-url-proxy-https.sigproxy.qq.opendns.com:443 -vvv -k "https://www.cnn.com" >> null
無代理: curl -v www.xyz.com:80
Mac/Linux: curl -vv -o /dev/null -k -L www.cnn.com
Windows: curl -vv -o null -k -L www.cnn.com
原因:上游伺服器需要客戶端證書,SWG不支援該證書。
解析度:使用外部域管理清單(Umbrella SIG)或繞過安全代理(思科安全訪問)從代理繞過域。 僅繞過HTTPS檢查是不夠的。
原因:啟用HTTPS檢查後,某些伺服器會拒絕帶有SWG新增的X-Forwarded-For(XFF)標頭的請求。
解析度:比較具有/不具有HTTPS和檔案檢查的行為。如果錯誤僅在出現XFF時發生,則Web伺服器可能配置錯誤。
範例: curl https://www.xyz.com -k —header 'X-Forwarded-For:1.1.1.1' -o /dev/null -w "狀態代碼:%{http_code}" -s
狀態代碼:502 curl https://www.xyz.com -k -o /dev/null -w "狀態代碼:%{http_code}" -s
狀態代碼:200
新增了XFF報頭進行地理定位。如果伺服器無法處理它,則會出現502錯誤。
如果SWG無法使用檔案檢查掃描檔案(例如,受保護、請求範圍或損壞的檔案),則會阻止下載並報告 — 已阻止 — 可能有害的應用程式(受保護的檔案)
潛在有害的類別和信譽塊
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
18-May-2026
|
初始版本 |