Hvilken Linux-pakkevej skal håndhæve proxybrug?
Anbring håndhævelseskontroller for netværksproxy på den pakkevej, de skal styre, i stedet for kun at filtrere forbindelser til gatewayen selv.
En Linux-gateway kan køre proxyprocessen og samtidig rute trafik uden om den. Det er ikke den samme pakkevej.
| Forbindelse | Relevant lokal rolle |
|---|---|
| Klienten når proxyen på gatewayen | Trafik adresseret til den lokale vært |
| Klienten når en anden vært gennem gatewayen | Videresendt trafik |
| Proxyen åbner en websiteforbindelse | Trafik genereret af en lokal proces |
Netfilter skelner mellem input-, forward- og outputveje. En regel, der styrer adgangen til gatewayens egen proxylistener, begrænser ikke automatisk hver rutet forbindelse gennem den maskine.
Definer, hvad der skal håndhæves
Hvis klienter skal bruge den godkendte proxy, skal politikken også håndtere deres alternative udgående ruter og samtidig tillade den tilsigtede listener. At tillade forbindelser til enhver fjernservice, blot fordi den bruger den velkendte proxyport, er ikke det samme som kun at tillade dit proxy-endepunkt.
Hold proxyens egen videre adgang adskilt. For Squid skal du skelne lokal socket-ejerskab fra LAN-brugeridentitet, før du anvender en udgående tilladelse. At afvise alle nyttige udgående forbindelser fra proxyen ville gøre den nødvendige vej utilgængelig. Administrationstrafik, navneopløsning og understøttede ikke-web-operationer kræver også bevidst behandling i udrulningens politik.
Protokolomfang betyder noget. En TCP-regel beskriver ikke i sig selv UDP-trafik, herunder QUIC. Aflytning af trafik er et andet design; en eksplicit HTTPS-proxy kan levere CONNECT uden at dekryptere website-sessionen.
Kortlæg de tilsigtede forbindelser, før du redigerer et regelsæt. En browserpræference vælger en rute for deltagende klienter. Netværkshåndhævelse afgør, hvilke andre ruter der kan lykkes. Ingen af dem bør udledes alene af et fungerende login på proxyen.