文档中心

云防火墙

流量解密

流量解密原理介绍

注意

流量解密模块当前属于邀测功能，在邀测期间，火山引擎会对服务可用性和可靠性提供支撑，但不对任何服务可用性、可靠性做出承诺，《服务等级协议》将在您开通使用产品和服务正式发布版本后开始适用。

什么是流量解密

流量解密功能旨在对通过防火墙的 HTTPS 加密流量进行解密，以便对传输内容进行深度安全检测。随着网络攻击越来越多地利用加密流量来隐藏恶意代码和非法行为（如 SQL 注入、跨站脚本（XSS）、病毒木马等），传统的网络安全设备无法检测这些威胁。通过在云防火墙上启用流量解密，您可以在不影响业务的前提下，实现对加密流量的全面洞察和防护。流量解密适用于以下核心场景：

入站流量防护：保护云上对外发布的服务

当外部用户访问您部署在云上的 Web 服务时，防火墙会对入站的加密流量进行解密，并结合入侵防御、虚拟补丁等功能进行深度内容检测。这能有效识别并阻断隐藏在 HTTPS 请求中的各类攻击，保护您的服务器安全

出站流量管控：保护云上业务安全访问互联网

当您云上的应用或服务需要访问外部网站或 API 时，防火墙会对出站的加密流量进行解密和分析，以防止您的主机主动连接恶意站点（如矿池、C&C 服务器）、遭遇网络钓鱼或数据被窃取。

VPC 间流量审计：防范东西向的横向渗透

在复杂的云网络环境中，若攻击者已突破边界进入内网，可能利用加密通道在不同 VPC 之间进行横向移动。通过解密并检测 VPC 间的加密流量，可以及时发现并阻断内网中的异常活动，防止威胁扩散。

流量解密工作原理

用户访问目的网站时，客户端向服务器发送访问请求，期望建立HTTPS连接。

防火墙作为服务器代理解析请求并进行证书匹配，通过后返回证书信息。

客户端对防火墙返回的信息进行证书可信验证，并建立HTTPS连接。

随后防火墙作为客户端代理向服务器发送访问请求。

服务器收到防火墙的访问请求后，返回服务证书信息。

云防火墙对服务器返回的信息进行证书可信验证，并建立HTTPS连接。

此后客户端与防火墙、防火墙和服务器之间分别建立了HTTPS连接。防火墙对流量进行安全检查拦截恶意流量，然后将可信流量重新加密，发往对端。

云防火墙使用透明解密的方式，相比传统代理解密，存在以下优势。

网络路径保持不变，不修改源 IP /目的 IP。

业务对解密过程无感知，解密仅用于安全检测。

可以实现南北向/东西向全流量解密。

最近更新时间：2026.03.12 13:03:33

这个页面对您有帮助吗？

有用

无用