Ποια διαδρομή πακέτων Linux πρέπει να επιβάλλει τη χρήση διακομιστή μεσολάβησης;
Τοποθετήστε τα μέτρα επιβολής του δικτυακού διακομιστή μεσολάβησης στη διαδρομή πακέτων που πρέπει να ελέγχουν, αντί να φιλτράρετε μόνο τις συνδέσεις προς την πύλη.
Μια πύλη Linux μπορεί να εκτελεί τη διεργασία διακομιστή μεσολάβησης και ταυτόχρονα να δρομολογεί κίνηση γύρω από αυτήν. Δεν είναι η ίδια διαδρομή πακέτων.
| Σύνδεση | Σχετικός τοπικός ρόλος |
|---|---|
| Ο πελάτης φτάνει στον διακομιστή μεσολάβησης στην πύλη | Κίνηση που απευθύνεται στον τοπικό κεντρικό υπολογιστή |
| Ο πελάτης φτάνει σε άλλον κεντρικό υπολογιστή μέσω της πύλης | Προωθημένη κίνηση |
| Ο διακομιστής μεσολάβησης ανοίγει σύνδεση ιστοτόπου | Κίνηση που παράγεται από τοπική διεργασία |
Το Netfilter διακρίνει διαδρομές εισόδου, προώθησης και εξόδου. Ένας κανόνας που ελέγχει την πρόσβαση στον ίδιο τον ακροατή του διακομιστή μεσολάβησης της πύλης δεν περιορίζει αυτόματα κάθε δρομολογημένη σύνδεση μέσω αυτού του μηχανήματος.
Ορίστε τι πρέπει να επιβληθεί
Αν οι πελάτες πρέπει να χρησιμοποιούν τον εγκεκριμένο διακομιστή μεσολάβησης, η πολιτική πρέπει να αντιμετωπίζει και τις εναλλακτικές εξερχόμενες διαδρομές τους, μαζί με την άδεια για τον προβλεπόμενο ακροατή. Το να επιτρέπονται συνδέσεις προς οποιαδήποτε απομακρυσμένη υπηρεσία μόνο επειδή χρησιμοποιεί τη γνωστή θύρα μεσολάβησης δεν είναι το ίδιο με το να επιτρέπεται μόνο το δικό σας τελικό σημείο μεσολάβησης.
Κρατήστε την περαιτέρω πρόσβαση του ίδιου του διακομιστή μεσολάβησης ξεχωριστή. Για το Squid, διαχωρίστε την κυριότητα τοπικής υποδοχής από την ταυτότητα χρήστη LAN πριν εφαρμόσετε άδεια εξόδου. Η άρνηση όλων των χρήσιμων εξερχόμενων συνδέσεων από τον διακομιστή μεσολάβησης θα καθιστούσε την απαιτούμενη διαδρομή μη διαθέσιμη. Η κίνηση διαχείρισης, η επίλυση ονομάτων και οι υποστηριζόμενες μη διαδικτυακές λειτουργίες χρειάζονται επίσης σκόπιμη μεταχείριση στην πολιτική της ανάπτυξης.
Το εύρος πρωτοκόλλου έχει σημασία. Ένας κανόνας TCP δεν περιγράφει από μόνος του κίνηση UDP, συμπεριλαμβανομένου του QUIC. Η υποκλοπή κίνησης είναι άλλος σχεδιασμός· ένας ρητός διακομιστής μεσολάβησης HTTPS μπορεί να παρέχει CONNECT χωρίς αποκρυπτογράφηση της συνεδρίας του ιστοτόπου.
Χαρτογραφήστε τις προβλεπόμενες συνδέσεις πριν επεξεργαστείτε ένα σύνολο κανόνων. Μια προτίμηση του προγράμματος περιήγησης επιλέγει διαδρομή για τους συμμετέχοντες πελάτες. Η δικτυακή επιβολή αποφασίζει ποιες άλλες διαδρομές μπορούν να πετύχουν. Κανένα από τα δύο δεν πρέπει να συνάγεται μόνο από μια επιτυχημένη σύνδεση στον διακομιστή μεσολάβησης.