python - 企业防火墙背后的网络流量

Question

我正在公司防火墙后面工作，该防火墙阻止了 Windows 和 Ubuntu 上的几乎所有应用程序的 Web 流量，除了 Web 浏览器和系统更新。
当我尝试使用 curl、git、python 等连接到外部资源时，出现 SSL/TLS 错误。我能够成功忽略这些应用程序的 SSL/TLS，并且它们按预期工作(例如 curl -k 成功)。
我对此类问题的工作方式有几个疑问:

由于忽略 SSL/TLS 有效，这是否意味着相关端口对 TCP/HTTP 流量开放，但对 TLS/HTTPS 流量不开放？

为什么浏览器和apt install <package>可以通过 HTTPS 连接，但其他应用程序不能？

这个问题有没有不影响安全性并且不涉及访问防火墙设置的通用解决方案？

Answer 1

Since ignoring SSL/TLS works, does that mean the ports in question are open to TCP/HTTP traffic, but not to TLS/HTTPS traffic?

不，这意味着有一些(可能是透明的)代理可以拦截 HTTPS，也可能拦截 HTTP 流量。使用 SSL interception HTTPS 流量在代理上被解密，可能是为了检查它是否受到威胁或数据泄漏。
这个中间人“攻击”的工作方式是将原始的 HTTPS 连接分成两部分:一个在客户端和代理之间，一个在代理和目标服务器之间。由于代理无法访问原始证书私钥，因此它将使用由代理特定 CA 签名的动态创建的证书。如果此代理 CA 受信任，则访问将顺利进行。但如果它不被信任，它就会崩溃——这就是你所看到的。如果您只是禁用证书验证，它似乎会起作用，尽管它也会盲目地接受攻击者的恶意 SSL 拦截。

Why are browsers and apt install able to connect via HTTPS, but other applications are not?

不幸的是，没有一个信任库。浏览器有自己的，Python 可能有自己的，Java 有自己的，应用程序可能有自己的等等。因此，虽然代理 CA 可能已添加到某些信任存储中，但可能尚未添加到其他信任存储中。

Is there a general solution to this problem which doesn't impair security, and which doesn't involve having access to firewall settings?

解决方案是将受信任的代理 CA 添加到所有必要的信任存储中。但同样，没有一个单一的，所以需要做的很大程度上取决于系统的确切设置和使用的应用程序。有一些标准的地方需要寻找(取决于操作系统和浏览器)，但这些通常不包括系统上使用的所有可能的信任库。