WPAD

WPAD（Web Proxy Auto-Discovery）是一种协议，可让浏览器和操作系统自动发现代理自动配置（PAC）文件的位置，该文件定义了客户端应用程序应如何连接到代理服务器以访问互联网。

WPAD 概述

WPAD 免去了手动设置的麻烦，从而简化了客户端侧的代理配置。管理员无需为每个客户端应用程序（例如浏览器、系统级代理设置）逐一填写代理服务器的 IP 地址和端口，只需发布一份 PAC 文件即可。配置为使用 WPAD 的客户端会自动定位并下载该文件，然后执行其中的 JavaScript 逻辑，为给定 URL 判定合适的代理服务器。在大型组织或动态网络环境中，代理设置可能频繁变动或随网络位置而不同，此时这一机制尤其有用。

WPAD 的工作方式：发现方法

WPAD 主要通过两种方法发现 PAC 文件：DHCP 和 DNS。客户端通常先尝试 DHCP 发现，若 DHCP 失败或未提供 WPAD 信息，则回退到 DNS。

DHCP 发现

DHCP（Dynamic Host Configuration Protocol）方法由 DHCP 服务器向客户端下发 PAC 文件的 URL。

1. 客户端请求： 当配置了 WPAD 的客户端从 DHCP 服务器获取 IP 地址时，它会请求特定的 DHCP 选项。
2. DHCP 选项 252： 可以配置 DHCP 服务器在租约应答中包含选项 252（Proxy Auto-Discovery）。该选项的值是一个字符串，内容为 wpad.dat 文件的 URL（例如 http://wpad.example.com/wpad.dat）。
3. 获取 PAC 文件： 客户端收到该 URL 后，尝试从指定位置下载 wpad.dat 文件。

DNS 发现

如果 DHCP 发现失败或未做配置，客户端通常会尝试基于 DNS 的发现。

1. 构造主机名： 客户端从自身域名中逐级去掉组成部分，构造出一系列候选的 WPAD 服务器主机名。例如，若客户端的 FQDN 为 host.sub.example.com，它会依次尝试解析 wpad.sub.example.com、wpad.example.com，最后是 wpad.com（出于安全原因，最后一个通常会被拦截）。
2. DNS 查询： 对每个构造出的主机名（例如 wpad.example.com），客户端发起 A 记录（IPv6 则为 AAAA 记录）的 DNS 查询。
3. 获取 PAC 文件： 若 DNS 解析成功，客户端会拼出 URL http://<resolved_IP_address>/wpad.dat 或 http://<resolved_hostname>/wpad.dat，并尝试下载 PAC 文件。

DHCP 与 DNS 发现对比

PAC 文件（代理自动配置）

WPAD 的核心是 PAC 文件，通常命名为 wpad.dat。该文件是一段 JavaScript 脚本，其中定义了唯一的函数：FindProxyForURL(url, host)。当客户端需要访问某个 URL 时，会调用该函数并传入目标 URL 及其主机名。函数的返回值决定了客户端后续如何处理该请求。

PAC 文件的要求

• 文件名： 必须命名为 wpad.dat。
• MIME 类型： 托管 wpad.dat 的 Web 服务器必须以正确的 MIME 类型提供该文件：application/x-ns-proxy-autoconfig。否则部分客户端会拒绝处理该文件。

基础 PAC 文件示例

function FindProxyForURL(url, host) {
    // 内部域名直连
    if (isPlainHostName(host) ||
        dnsDomainIs(host, ".example.com") ||
        isInNet(myIpAddress(), "192.168.1.0", "255.255.255.0")) {
        return "DIRECT";
    }

    // 特定流量走主代理
    if (shExpMatch(url, "*.google.com/*")) {
        return "PROXY proxy1.example.com:8080";
    }

    // 其余全部流量走主代理，失败时切换到备用代理
    return "PROXY proxy1.example.com:8080; PROXY proxy2.example.com:8080; DIRECT";
}

PAC 文件常见返回值

• DIRECT：不经代理，直接连接目标地址。
• PROXY host:port：使用指定的 HTTP 代理服务器。可指定多个代理以实现故障切换（例如 PROXY proxy1:8080; PROXY proxy2:8080）。
• SOCKS host:port：使用指定的 SOCKS 代理服务器。

WPAD 对代理服务的优势

• 集中管理： 管理员可以在单一位置（Web 服务器上的 wpad.dat 文件）管理整个网络的代理设置。
• 动态配置： 代理设置可以依据客户端 IP 地址、目标 URL、时间段或 PAC 文件中定义的其他逻辑而变化，从而支持复杂的路由需求。
• 移动性： 笔记本或移动设备在不同网络之间切换时（例如办公室 LAN、访客 Wi-Fi），会根据各网络提供的 WPAD 配置自动重新设置代理。
• 负载均衡与故障切换： PAC 文件可指定多个代理服务器，让客户端分摊流量，或在主代理不可用时自动切换到备用代理。
• 精细化控制： 特定类型的流量（例如内部资源、安全站点）可以绕过代理，其余流量则经由代理转发，从而兼顾性能与安全。

缺点与安全隐患

WPAD 虽然带来了便利，但也引入了若干安全风险和运维挑战：

• 中间人（MITM）攻击：
  • DNS 欺骗： 攻击者可以伪造 wpad.domain.tld 的 DNS 应答，把客户端引导到恶意 WPAD 服务器。
  • DHCP 欺骗： 攻击者可以架设流氓 DHCP 服务器，向客户端下发恶意的 WPAD URL。
  • 恶意 PAC 文件： 一旦客户端下载了恶意 PAC 文件，攻击者就能将全部流量导向自己的代理，从而截获或篡改数据，甚至阻断对关键服务的访问。
• 单点故障： 如果 WPAD 服务器或托管 wpad.dat 的 Web 服务器不可用，客户端将丢失代理配置，并可能无法访问互联网——除非 PAC 文件逻辑中已考虑回退到 DIRECT。
• DNS 搜索顺序漏洞： 客户端在做 DNS 发现时，常会把自身的域名后缀追加到 wpad 之后。如果客户端所在网络使用较短的域名后缀（例如 company.local），它可能会查询 wpad.local，甚至在 local 未配置时查询 wpad.com。控制这些通用域名的攻击者就可以托管恶意的 wpad.dat 文件。许多现代浏览器和操作系统已通过禁止对 .com、.local 等顶级域执行 WPAD 发现来缓解该风险。
• 性能开销： WPAD 的发现过程（DHCP、DNS 查询）以及 PAC 文件的执行会给建立连接带来轻微延迟，不过通常可以忽略不计。
• 可被绕过： 熟练用户或恶意软件可能绕过 WPAD 设置，尤其是在没有通过其他网络管控手段强制执行的情况下。
• MIME 类型配置错误： Web 服务器上的 MIME 类型不正确（例如用 text/plain 而非 application/x-ns-proxy-autoconfig）会导致客户端忽略 wpad.dat 文件。

为代理服务配置 WPAD

部署 WPAD 需要若干步骤，以确保客户端能够发现并使用您的代理服务。

1. 创建 PAC 文件（wpad.dat）：

   • 编写 FindProxyForURL 的 JavaScript 逻辑，定义您的代理路由规则。
   • 使用相关工具或浏览器开发者控制台充分测试 PAC 文件，确认其行为符合预期。

2. 在 Web 服务器上托管 PAC 文件：

   • 将 wpad.dat 部署到可访问的 Web 服务器（例如 Apache、Nginx、IIS）。
   • 确保 Web 服务器以 MIME 类型 application/x-ns-proxy-autoconfig 提供 wpad.dat。
     • Apache： 在 httpd.conf 或 .htaccess 文件中添加 AddType application/x-ns-proxy-autoconfig .dat。
     • Nginx： 在 nginx.conf 中添加 types { application/x-ns-proxy-autoconfig dat; }。
     • IIS： 为 .dat 扩展名添加一条 MIME 类型记录，类型设为 application/x-ns-proxy-autoconfig。

3. 配置 DHCP：

   • 在 DHCP 服务器上为相关作用域配置选项 252（Proxy Auto-Discovery）。
   • 将字符串值设为您的 PAC 文件完整 URL（例如 http://wpad.example.com/wpad.dat）。

4. 配置 DNS：

   • 在内部 DNS 服务器中为 wpad.<your_domain.tld> 创建一条 A 记录（或 CNAME），指向托管 wpad.dat 的 Web 服务器 IP 地址。
   • 示例：为 wpad.example.com 创建 A 记录，指向 192.168.1.100。

5. 客户端配置：

   • 确保客户端操作系统和浏览器已设置为「自动检测设置」或「使用自动代理配置脚本」。这通常就是默认设置。
   • 在 Windows 客户端上，该设置一般位于「Internet 选项」->「连接」->「LAN 设置」。

关闭 WPAD

在 WPAD 带来不可接受的安全风险或并无必要的环境中，可以将其关闭：

• 组策略（Windows）： 管理员可以通过组策略对象（GPO）为已加入域的计算机禁用自动代理检测。
• 注册表（Windows）： 手动修改注册表也可以禁用 WPAD。键 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections 中包含 DefaultConnectionSettings 和 SavedLegacySettings 等设置项，可在其中修改 WPAD 相关标志位。
• 浏览器设置： 大多数浏览器都提供了显式关闭自动代理检测的选项。
• 网络配置： 不配置 DHCP 选项 252，也不创建 wpad 的 DNS 记录。

代理服务使用 WPAD 的最佳实践

• 加固 WPAD 端点： 确保托管 wpad.dat 的 Web 服务器已做安全加固并定期打补丁。可以考虑通过 HTTPS 分发 wpad.dat，但并非所有客户端（尤其是较老的客户端）都完整支持以 HTTPS 进行 WPAD 发现。
• 校验 PAC 文件： 定期检查 wpad.dat 文件内容是否正确，防止恶意代码被注入。
• 监控 WPAD 使用情况： 在 Web 服务器上记录对 wpad.dat 的请求日志，以便发现异常访问模式或潜在攻击。
• 实施网络分段： 将 WPAD 服务器和代理基础设施与普通用户网络隔离开。
• 对用户做好宣导： 让用户了解代理设置的重要性，以及擅自关闭代理或接入不可信网络所带来的风险。
• 敏感环境考虑替代方案： 对于安全性要求极高或涉及敏感数据的环境，建议通过组策略或移动设备管理（MDM）方案显式下发代理配置，这样控制更直接，也更少依赖发现类协议。
• 拦截外部域名的 WPAD： 配置内部 DNS 服务器，禁止解析组织管控范围之外域名下的 wpad（例如 wpad.com、wpad.org）。这可以缓解 DNS 搜索顺序漏洞。