Кой път на пакетите в Linux трябва да налага използването на прокси?
Поставете контролите за налагане на мрежово прокси върху пътя на пакетите, който трябва да управляват, вместо да филтрирате само връзките към шлюза.
Linux шлюз може да стартира прокси процеса и също да маршрутизира трафик покрай него. Това не са един и същ път на пакетите.
| Връзка | Съответна локална роля |
|---|---|
| Клиентът достига проксито на шлюза | Трафик, адресиран до локалния хост |
| Клиентът достига друг хост през шлюза | Пренасочен трафик |
| Проксито отваря връзка към уебсайт | Трафик, генериран от локален процес |
Netfilter различава пътища на вход, препращане и изход. Правило, което управлява достъпа до собствения слушател на проксито на шлюза, не ограничава автоматично всяка маршрутизирана връзка през тази машина.
Определете какво трябва да се наложи
Ако клиентите трябва да използват одобреното прокси, политиката трябва да обхване и алтернативните им изходящи маршрути, освен да разреши предвидения слушател. Разрешаването на връзки към всяка отдалечена услуга само защото използва познатия прокси порт не е същото като разрешаване само на вашата крайна точка на проксито.
Пазете собствения по-нататъшен достъп на проксито отделно. За Squid разграничете собствеността на локалния сокет от идентичността на LAN потребителя, преди да приложите разрешение за изход. Отказът на всички полезни изходящи връзки от проксито би направил необходимия път недостъпен. Управляващият трафик, разрешаването на имена и поддържаните не-уеб операции също изискват съзнателно третиране в политиката на внедряването.
Обхватът на протокола е важен. TCP правилото само по себе си не описва UDP трафик, включително QUIC. Прихващането на трафик е друг дизайн; явно HTTPS прокси може да предостави CONNECT без разшифроване на сесията на уебсайта.
Нанесете карта на предвидените връзки, преди да редактирате набор от правила. Предпочитание в браузъра избира маршрут за участващите клиенти. Мрежовото налагане решава кои други маршрути могат да успеят. Никое от двете не бива да се извежда само от работещ вход в проксито.