Pa lwybr pecynnau Linux ddylai orfodi defnydd o'r proxy?
Gosodwch reolaethau gorfodi'r proxy rhwydwaith ar y llwybr pecynnau y maent i'w llywodraethu, yn lle hidlo cysylltiadau â'r porth yn unig.
Gall porth Linux redeg y broses proxy a hefyd llwybro traffig heibio iddo. Nid yw'r rhain yr un llwybr pecynnau.
| Cysylltiad | Rôl leol berthnasol |
|---|---|
| Mae'r cleient yn cyrraedd y proxy ar y porth | Traffig a gyfeirir at y gwesteiwr lleol |
| Mae'r cleient yn cyrraedd gwesteiwr arall trwy'r porth | Traffig a anfonir ymlaen |
| Mae'r proxy'n agor cysylltiad â gwefan | Traffig a gynhyrchir gan broses leol |
Mae Netfilter yn gwahaniaethu rhwng llwybrau mewnbwn, anfon ymlaen ac allbwn. Nid yw rheol sy'n llywodraethu mynediad at wrandawr proxy'r porth ei hun yn cyfyngu'n awtomatig ar bob cysylltiad a lwybrir trwy'r peiriant hwnnw.
Diffiniwch beth sydd i'w orfodi
Os oes rhaid i gleientiaid ddefnyddio'r proxy cymeradwy, mae angen i'r polisi fynd i'r afael â'u llwybrau allan eraill yn ogystal â chaniatáu'r gwrandawr a fwriadwyd. Nid yw caniatáu cysylltiadau ag unrhyw wasanaeth anghysbell dim ond am ei fod yn defnyddio'r porth proxy cyfarwydd yr un peth â chaniatáu eich pwynt terfyn proxy yn unig.
Cadwch fynediad ymlaen y proxy ei hun ar wahân. Ar gyfer Squid, gwahaniaethwch berchnogaeth soced lleol oddi wrth hunaniaeth defnyddiwr y LAN cyn cymhwyso caniatâd allan. Byddai gwrthod pob cysylltiad allan defnyddiol o'r proxy yn gwneud y llwybr gofynnol yn anghyfannedd. Mae traffig rheoli, datrys enwau a gweithrediadau an-we rhwymedig hefyd angen triniaeth fwriadol ym mholisi'r defnydd.
Mae cwmpas protocol yn bwysig. Nid yw rheol TCP ynddi'i hun yn disgrifio traffig UDP, gan gynnwys QUIC. Mae rhyng-gipio traffig yn gynllun arall; gall proxy HTTPS penodol ddarparu CONNECT heb ddadgryptio sesiwn y wefan.
Mapîwch y cysylltiadau a fwriadwyd cyn golygu set o reolau. Mae dewis yn y porwr yn dethol llwybr ar gyfer cleientiaid sy'n cymryd rhan. Mae gorfodi rhwydwaith yn penderfynu pa lwybrau eraill all lwyddo. Ni ddylid casglu'r naill na'r llall yn unig o fewngofnodi llwyddiannus i'r proxy.