Els llocs de la mateixa subxarxa poden saltar-se el proxy transparent d'una passarel·la
Explica per què el trànsit d'una mateixa subxarxa pot saltar-se una regla d'intercepció de la passarel·la mentre les peticions d'Internet apareixen al seu registre.
La navegació per Internet apareix al registre del proxy de la passarel·la. Un lloc web de la LAN de l'oficina no. Abans de canviar el filtre d'URL, comproveu si la petició de la LAN ha arribat mai a la passarel·la.
Per a una destinació IPv4 connectada directament, el client pot resoldre l'adreça d'enllaç de la destinació i enviar-hi al segment local. La seva passarel·la per defecte no és automàticament en aquest camí. Una regla d'intercepció transparent a la passarel·la no pot redirigir paquets que la passarel·la no rep mai.
Per exemple, dos amfitrions de la mateixa subxarxa enllaçada poden intercanviar trànsit a través d'un commutador mentre la màquina proxy està connectada a un altre port del commutador. Només ser en aquesta LAN no converteix el proxy en el punt de reenviament.
Trieu el camí previst
Una configuració de proxy explícita pot enviar la petició de l'aplicació participant al proxy fins i tot quan el lloc web objectiu és local. Reviseu també les regles d'exclusió i les decisions PAC: poden triar deliberadament DIRECT per a noms o adreces privades.
Si cal intercepció, la xarxa ha de situar realment el punt d'intercepció al camí; en una passarel·la Linux, distingiu els camins de paquets locals i reenviats. La separació de subxarxes amb encaminament o un pont deliberadament en línia ho poden fer en dissenys adequats, però cadascun canvia el comportament de reenviament i de fallada. Un pont en un altre lloc de la LAN no és automàticament en línia.
Manteniu separat el requisit del protocol d'aplicació. Fins i tot després que el trànsit travessi l'equip, l'oient ha de suportar el mode d'intercepció. Moure els paquets no és permís per desxifrar HTTPS ni garantia que un port SOCKS ordinari els pugui acceptar.
Registreu la ruta triada pel client, el segment local i el dispositiu de reenviament real. Un registre de proxy absent pot ser una descripció correcta de la topologia i no una fallada del registre.