Koja putanja paketa u Linuxu treba da provodi upotrebu proxyja?
Postavite kontrole provođenja mrežnog proxyja na putanju paketa kojom treba da upravljaju, umjesto da filtrirate samo veze prema gatewayju.
Linux gateway može pokretati proxy proces i istovremeno usmjeravati promet pored njega. To nije ista putanja paketa.
| Veza | Relevantna lokalna uloga |
|---|---|
| Klijent doseže proxy na gatewayju | Promet adresiran na lokalnog hosta |
| Klijent doseže drugi host kroz gateway | Proslijeđeni promet |
| Proxy otvara vezu prema web stranici | Promet koji generiše lokalni proces |
Netfilter razlikuje ulazne, proslijeđene i izlazne putanje. Pravilo koje upravlja pristupom vlastitom proxy slušaču gatewayja ne ograničava automatski svaku usmjerenu vezu kroz taj stroj.
Definirajte šta se mora provoditi
Ako klijenti moraju koristiti odobreni proxy, politika mora obraditi i njihove alternativne izlazne rute, uz dopuštanje predviđenog slušača. Dopuštanje veza prema bilo kojoj udaljenoj usluzi samo zato što koristi poznati proxy port nije isto kao dopuštanje samo vaše proxy krajnje točke.
Držite vlastiti dalji pristup proxyja odvojeno. Za Squid, razlikujte vlasništvo lokalnog socketa od identiteta LAN korisnika prije primjene izlaznog dopuštenja. Odbijanje svih korisnih izlaznih veza proxyja učinilo bi potrebnu putanju nedostupnom. Upravljački promet, razrješavanje imena i podržane ne-web operacije također trebaju namjernu obradu u politici postavljanja.
Obim protokola je važan. TCP pravilo samo po sebi ne opisuje UDP promet, uključujući QUIC. Presretanje prometa je drugi dizajn; eksplicitni HTTPS proxy može pružiti CONNECT bez dešifriranja sesije web stranice.
Mapirajte predviđene veze prije uređivanja skupa pravila. Postavka preglednika odabire rutu za klijente koji učestvuju. Mrežno provođenje odlučuje koje druge rute mogu uspjeti. Ni jedno se ne smije zaključiti samo iz uspješne prijave na proxy.