Kiun Linuksan paketan vojon devus devigi la uzadon de prokurilo?
Metu la retajn prokurilajn devigajn kontrolojn sur la paketan vojon, kiun ili devas regi, anstataŭ filtri nur konektojn al la enirejo mem.
Linuksa enirejo povas ruli la prokurilan procezon kaj ankaŭ enkursigigi trafikon preter ĝi. Tiuj ne estas la sama paketa vojo.
| Konekto | Rilata loka rolo |
|---|---|
| Kliento atingas la prokurilon ĉe la enirejo | Trafiko adresita al la loka gastiganto |
| Kliento atingas alian gastiganton tra la enirejo | Plusendita trafiko |
| La prokurilo malfermas retejan konekton | Trafiko generita de loka procezo |
Netfilter distingas enigajn, plusendajn kaj eligajn vojojn. Regulo reganta aliron al la propra prokurila aŭskultanto de la enirejo ne aŭtomate limigas ĉiun enkursigitan konekton tra tiu maŝino.
Difinu, kio devas esti devigata
Se klientoj devas uzi la aprobitan prokurilon, la politiko devas trakti ankaŭ iliajn alternativajn elirajn vojojn, krom permesi la celitan aŭskultanton. Permesi konektojn al iu ajn fora servo nur ĉar ĝi uzas la konatan prokurilan pordon ne samas al permesi nur vian prokurilan finpunkton.
Tenu la propran pluan aliron de la prokurilo aparte. Por Squid, distingvu lokan ingan posedon de la identeco de LAN-uzanto antaŭ ol apliki eliran permeson. Malkoncedi ĉiujn utilajn elirajn konektojn de la prokurilo farus la postulatan vojon neatingebla. Administra trafiko, nomresolvo kaj subtenataj ne-retaj operacioj ankaŭ bezonas intencan traktadon en la politiko de la deplojo.
Protokola amplekso gravas. TCP-regulo mem ne priskribas UDP-trafikon, inkluzive QUIC. Intercepti trafikon estas alia dezajno; eksplicita HTTPS-prokurilo povas provizi CONNECT sen malĉifri la retejan sesion.
Mapu la celitajn konektojn antaŭ ol redakti regularon. Retumila prefero elektas vojon por partoprenantaj klientoj. Reta devigo decidas, kiuj aliaj vojoj povas sukcesi. Neniun el ili oni devus konkludi nur el funkcianta ensaluto al la prokurilo.