WPAD 与代理配置风险是什么
WPAD（Web Proxy Auto-Discovery）让客户端通过名称解析自动找到代理配置文件，省去逐台配置的麻烦。代价是客户端会主动向网络询问谁是代理：任何能在解析路径上抢先应答的主机，都可以把终端流量引到自己的代理上。因此这项检查同时看两件事——是否还在依赖自动发现，以及代理配置是否一致可控。
基本信息
| 核查对象 | WPAD 相关 DNS 与 DHCP 配置、PAC 文件来源、终端覆盖范围 |
|---|---|
| 风险类型 | 解析被劫持，流量经未知代理中转 |
| 次要风险 | 多点配置不一致导致访问异常与排查困难 |
| 处置方向 | 改用明确的代理配置或受控 PAC 分发 |
| 前提约束 | 代理配置变更影响办公上网，先试点再推广 |
典型使用场景
- 办公网评估：确认是否仍有终端依赖自动发现获取代理
- 代理改造：把自动发现迁移到受控分发的 PAC 文件
- 故障排查：访问异常时确认终端实际使用的代理来源
- 资产梳理：统计各区域终端代理配置的分布情况
- 内网风险说明：向客户解释 DNS 抢答类手法的原理与影响
检查要点
检查要点
1. 核查 WPAD 相关 DNS 与 DHCP 配置（是否下发为自动发现）
2. 抽查终端：浏览器与系统代理设置是自动发现还是固定配置
3. 统计依赖自动发现代理的终端范围（按区域与部门）
4. 确认 PAC 文件的分发方式与校验机制（签名或固定地址）
5. 评估迁移到明确配置的路径与试点范围
6. 输出：风险说明 + 迁移建议 + 影响范围清单检查项与判读
| 检查项 | 风险表现 | 建议动作 |
|---|---|---|
| DNS 配置 | 存在 wpad 相关解析项 | 移除或改为受控解析 |
| DHCP 下发 | 自动发现选项被启用 | 下发改固定 PAC 地址 |
| 终端设置 | 大量终端为自动检测 | 分批推送固定配置 |
| PAC 分发 | 文件可被任意修改 | 加校验或限定分发源 |
代理配置变更影响办公上网：先在小范围试点并准备回滚方案，确认业务系统访问正常后再大规模推送。
把自动发现类问题只当可用性问题评估是不够的：解析被抢占意味着终端流量可能被引向未知代理，属于中间人风险，定级时要体现这一点。