Welcher Linux-Paketpfad sollte die Proxy-Nutzung erzwingen?
Platzieren Sie Durchsetzungskontrollen für den Netzwerk-Proxy auf dem Paketpfad, den sie steuern sollen, statt nur Verbindungen zum Gateway selbst zu filtern.
Ein Linux-Gateway kann den Proxy-Prozess betreiben und zugleich Datenverkehr daran vorbeileiten. Das ist nicht derselbe Paketpfad.
| Verbindung | Relevante lokale Rolle |
|---|---|
| Client erreicht den Proxy auf dem Gateway | An den lokalen Host adressierter Verkehr |
| Client erreicht einen anderen Host über das Gateway | Weitergeleiteter Verkehr |
| Der Proxy öffnet eine Website-Verbindung | Von einem lokalen Prozess erzeugter Verkehr |
Netfilter unterscheidet Eingabe-, Weiterleitungs- und Ausgabepfade. Eine Regel, die den Zugriff auf den eigenen Proxy-Listener des Gateways regelt, beschränkt nicht automatisch jede geroutete Verbindung durch diese Maschine.
Festlegen, was erzwungen werden muss
Müssen Clients den freigegebenen Proxy nutzen, muss die Richtlinie auch ihre alternativen ausgehenden Routen behandeln und zugleich den vorgesehenen Listener zulassen. Verbindungen zu jedem entfernten Dienst zu erlauben, nur weil er den vertrauten Proxy-Port verwendet, ist nicht dasselbe wie nur den eigenen Proxy-Endpunkt zuzulassen.
Halten Sie den eigenen Weiterzugriff des Proxys getrennt. Bei Squid unterscheiden Sie lokale Socket-Eigentümerschaft von der Identität der LAN-Benutzer, bevor Sie eine Ausgangsfreigabe anwenden. Alle nützlichen ausgehenden Verbindungen des Proxys zu verweigern, würde den erforderlichen Pfad unbrauchbar machen. Verwaltungsverkehr, Namensauflösung und unterstützte Nicht-Web-Vorgänge brauchen ebenfalls eine bewusste Behandlung in der Bereitstellungsrichtlinie.
Der Protokollumfang zählt. Eine TCP-Regel beschreibt für sich genommen keinen UDP-Verkehr, auch nicht QUIC. Das Abfangen von Verkehr ist ein anderes Design; ein expliziter HTTPS-Proxy kann CONNECT bereitstellen, ohne die Website-Sitzung zu entschlüsseln.
Bilden Sie die beabsichtigten Verbindungen ab, bevor Sie ein Regelset bearbeiten. Eine Browser-Einstellung wählt eine Route für teilnehmende Clients. Die Netzwerkdurchsetzung entscheidet, welche anderen Routen erfolgreich sein können. Nichts davon sollte allein aus einem funktionierenden Login am Proxy abgeleitet werden.