用途：SSL/TLS 检查（又称 SSL 解密、HTTPS 检查、TLS break-and-inspect）在客户端与服务器之间拦截加密流量，检查明文内容以发现恶意软件、数据外泄、策略违规和命令控制通信。检查设备充当受信任的中间人：终止来自客户端的 TLS 会话，检查明文，再与目标服务器建立新的 TLS 会话。资料指出当前超过 95% 的 Web 流量已加密，未部署 TLS 检查的组织存在巨大盲区。
主要能力：支持 SSL 正向代理（出站）、SSL 入站检查（面向内部服务器）和 SSH 代理三种模式；可部署受信任 CA 证书、管理证书固定（pinning）应用的豁免、并兼顾隐私合规。
使用方式：先用 openssl 生成内部检查 CA（如 openssl genrsa -aes256 -out ssl-inspect-ca.key 4096 与 openssl req -new -x509 ...），再通过 GPO、PowerShell（Import-Certificate）、macOS security add-trusted-cert 或 Linux update-ca-certificates/update-ca-trust 将 CA 部署到终端；随后在防火墙上导入 CA 并设为 forward-trust-certificate，创建解密配置文件与解密策略，配置证书固定应用、隐私敏感类别和特定域名的 no-decrypt 豁免，并可用 openssl s_client 验证签发者是否为内部 CA。
适用场景：安全评估、事件响应、定期安全测试与审计、通过实操验证安全控制。
限制与注意事项：需具备支持 TLS 检查的下一代防火墙或安全 Web 网关、内部 CA、终端证书管理及隐私法律审查；CPU 开销每会话增加 50-80%，吞吐量通常下降 40-60%，延迟增加 1-5ms；TLS 1.3 0-RTT 无法检查，证书固定会导致检查失败，QUIC/HTTP3 会绕过传统代理。合规方面需告知员工、排除医疗金融等敏感流量、避免不必要地记录明文，并满足 GDPR 等要求。建议先以仅检测模式部署、维护豁免列表、阻断 UDP/443、监控证书错误、强制最低 TLS 1.2、将 CA 私钥存入 HSM 并定期轮换 CA。