SWG 回避と TLS 検査の除外設定の違い

SWG の回避は接続経路を変更します。TLS 検査の除外設定は、ゲートウェイが接続を復号するかどうかを変更します。 どちらでも公開証明書が見える場合がありますが、意味は異なります。

何が変わるのか

確認する点	ゲートウェイの回避	TLS 検査の除外
ゲートウェイを通るか	利用可能なら別の経路を使います。	暗号化された接続をゲートウェイが転送します。
元の公開証明書が見えるか	他の傍受サービスがなく直接到達すれば見えます。	証明書が置き換えられないため見えます。
アクセス制御は残るか	端末やネットワークの別の制御が残る場合があります。	ゲートウェイの経路と適用される制御を維持できます。
何を検証するか	経路、到達性、新しい証明書の証拠。	除外設定の適用と新しい証明書の証拠。

証明書だけでは経路が分からない理由

証明書は TLS の相手と信頼チェーンを示しますが、パケットを転送する全機器の一覧ではありません。TLS を終端せずに暗号化通信を通すゲートウェイでは、直接接続と同じ公開チェーンが見えることがあります。

ローカルで信頼されたルートだけで製品ベンダーも特定できません。企業の検査システム、デバッグ用プロキシ、内部サービスなどが使う場合があります。

問題に合った変更を選ぶ

TLS 検査との互換性が問題なら、管理者が対象を絞って復号を除外することで、所定の経路を維持しながら解決できる場合があります。管理するネットワークや許可を得た環境で別経路を評価する際は、実際にその経路が使われたことを確認してください。プロキシ設定の変更だけでは端末やネットワークの経路変更は保証されません。

HTTPS 検査ガイドで結果を比較し、ホスト名と使用アプリを記録します。1 つのアプリの結果をすべてのアプリに当てはめないでください。

SWG bar が提供する情報

SWG bar は Mac のメニューバーでドメインと証明書の証拠を確認しやすくします。結果は観測またはプローブした接続に関するもので、すべてのゲートウェイ制御がなくなったことを示しません。仕組みの解説で詳しく説明します。