SWG 绕过与 TLS 解密例外有什么区别

SWG 绕过改变连接经过的路径，TLS 解密例外改变网关是否解密该连接。 两者都可能让客户端看到公共证书链，但含义不同。

各自改变了什么？

问题	绕过网关	TLS 解密例外
流量还经过网关吗？	所选连接使用另一条可用路径。	仍然经过，网关可以转发加密连接。
能看到原始公共证书吗？	直接到达目标且没有其他拦截服务时可以。	可以，因为网关不替换该连接的证书。
访问控制还会生效吗？	设备或网络上的其他控制仍可能生效。	网关路由和适用的访问控制可以保留。
需要验证什么？	路由、可达性和最新证书证据。	例外是否实际生效，以及最新证书证据。

为什么证书不能单独证明路由

证书描述 TLS 对端及其信任链，不列出所有转发数据包的设备。如果网关仅隧道转发加密流量，不终止 TLS，客户端可能看到与直连时相同的公共证书链。

同样，本地信任根也不能单独确定网关厂商。它可能属于企业检查系统、调试代理或内部服务。

按实际问题选择变更

应用与 TLS 检查不兼容时，由管理员配置范围明确的解密例外，可能在保留既定网络路径的同时解决问题。如果在自己管理或获准测试的网络中评估其他路径，需要核实连接确实使用了该路径。修改代理偏好，并不保证终端或网络路由随之改变。

按照HTTPS 检查指南比较结果，记录准确主机名和所用应用，避免把一个应用的成功测试当成所有应用的结论。

SWG bar 提供什么

SWG bar 让你在 Mac 菜单栏查看域名和证书证据。结果针对观察或探测到的连接，不能据此断言所有网关控制均已消失。详情见工作原理。