Quin camí de paquets de Linux ha d'aplicar l'ús del proxy?
Col·loqueu els controls d'aplicació del proxy de xarxa al camí de paquets que han de governar, en lloc de filtrar només les connexions a la passarel·la.
Una passarel·la Linux pot executar el procés del proxy i també encaminar trànsit més enllà d'ell. No són el mateix camí de paquets.
| Connexió | Rol local rellevant |
|---|---|
| El client arriba al proxy de la passarel·la | Trànsit adreçat a l'amfitrió local |
| El client arriba a un altre amfitrió a través de la passarel·la | Trànsit reenviat |
| El proxy obre una connexió a un lloc web | Trànsit generat per un procés local |
Netfilter distingeix els camins d'entrada, reenviament i sortida. Una regla que governa l'accés al propi oient del proxy de la passarel·la no restringeix automàticament totes les connexions encaminades per aquesta màquina.
Definiu què s'ha d'aplicar
Si els clients han d'utilitzar el proxy aprovat, la política ha d'abordar també les seves rutes de sortida alternatives, a més de permetre l'oient previst. Permetre connexions a qualsevol servei remot només perquè utilitza el port de proxy habitual no és el mateix que permetre només el vostre punt final de proxy.
Manteniu separat l'accés propi del proxy cap a l'exterior. Per a Squid, distingiu la propietat del sòcol local de la identitat d'usuari de la LAN abans d'aplicar un permís de sortida. Denegar totes les connexions de sortida útils del proxy faria que el camí necessari no estigués disponible. El trànsit de gestió, la resolució de noms i les operacions no web admeses també necessiten un tractament deliberat a la política del desplegament.
L'abast del protocol és important. Una regla TCP no descriu per si mateixa el trànsit UDP, inclòs QUIC. Interceptar el trànsit és un altre disseny; un proxy HTTPS explícit pot proporcionar CONNECT sense desxifrar la sessió del lloc web.
Mapeu les connexions previstes abans d'editar un conjunt de regles. Una preferència del navegador selecciona una ruta per als clients participants. L'aplicació a la xarxa decideix quines altres rutes poden tenir èxit. Cap de les dues no s'ha d'inferir només d'un inici de sessió correcte al proxy.