SSL VPN: Web代理(Web改写和Web link)

SSL VPN: Web代理(Web改写和Web link)

业务交互流程
图所示是远程用户通过Web代理方式来访问内网Web Server的一个业务交互流程。
（1）远程用户通过域名（https://gateway-domain）来访问虚拟网关。
（2）登录虚拟网关成功后，远程用户会在虚拟网关中看到自己有权访问的Web资源列表，然后单击要访问的资源链接。
FW在将内网资源（http://website/resource.html）呈现给远程用户时，会改写该资源的URL。远程用户点击资源链接后，发送给FW的HTTPS链接请求就是虚拟网关改写以后的URL，改写后的URL实质上是由https://gateway-domain和http://website/resource.html这两个URL拼接而成。
（3）FW收到上述URL后，会向web Server重新发起一个HTTP请求，这个HTTP请求就是Web资源实际的URL（http://website/resource.html）。
（4）Web Server以HTTP方式向FW返回资源页面。
（5）虚拟网关将Web Server返回的资源页面，再经过HTTPS方式转发给远程用户。

Web代理业务交互流程

从业务交互流程可以看出，Web代理功能的基本实现原理是将远程用户访问Web Server的过程被分成了两个阶段。首先是远程用户与FW虚拟网关之间建立HTTPS会话，然后FW虚拟网关再与Web Server建立HTTP会话。虚拟网关在远程用户访问企业内网Web Server中起到了改写、转发Web请求的作用。
Web代理按照实现方式的不同分为了Web改写和Web link两种。
Web改写
Web改写中的“改写”包含两层含义。

第一层含义是加密，即远程用户在点击虚拟网关资源列表中的链接时，虚拟网关会将用户要访问的真实URL进行加密。例如，在图1的第二步中，用户要访问的真实URL是http://website/resource.html，而经过Web改写以后URL可能会显示为http://website/D%3A/0–2+resource.html。通过Web改写，起到隐藏内网Web资源真实URL的目的，从而保护内网Web服务器的地址安全。在Web改写中，这种加密不仅体现于此，包括用户要访问的Web资源页面链接对象（例如Flash、PDF、Java Applet等）的URL也会被一并加密。
第二层含义是适配。不同的终端设备使用着不同的操作系统和的浏览器，这就使得它们在Web资源的支持上存在差异。为了解决终端类型差异对业务的影响，这就需要FW不仅能将内网Web资源转发给远程用户，而且还要对Web资源进行“改写”，使之能够适配这些不同的终端。启用Web代理功能以后，FW设备会自动对Web资源进行改写。对于个别HTML对象和ActiveX控件如果在启用Web代理以后，仍然出现显示异常的情况，则可以通过手动配置的方法进行精确改写，解决此问题。
Web link
Web Link不会进行加密和适配，只做单纯“转发”远程用户的Web资源请求。
由于Web Link少了加密和适配的环节，因此业务处理效率较之Web改写要高。而Web改写由于做了加密和适配，因此在安全性方面要比Web Link高。

Web link的业务交互流程与Web改写的类似。所不同的是Web link不会对资源进行改写。
需要注意的是，Web link只适合在用户使用Window操作系统+IE浏览器的终端上使用。

Web代理报文封装原理
图所示是远程用户访问内网Web资源时的报文封装过程，从图中可以看出远程用户的访问过程本质上是由HTTPS和HTTP这两个会话衔接而成。其中，远程用户与虚拟网关建立HTTPS会话时，使用的源端口为6293，这个源端口是一个随机端口；目的端口是443。虚拟网关与Web Server建立HTTP会话时，源端口是10091，这个源端口也是随机端口，目的端口为80。
Web代理报文封装原理

VPN配置案例汇总、VPN汇总（列表、list、全）vpnlist
http://www.zh-cjh.com/wenzhangguilei/1193.html
文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html