Los sitios de la misma subred pueden eludir el proxy transparente de una puerta de enlace
Explica por qué el tráfico de la misma subred puede eludir una regla de interceptación de la puerta de enlace mientras las peticiones a Internet aparecen en su registro.
La navegación por Internet aparece en el registro del proxy de la puerta de enlace. Un sitio de la LAN de la oficina no. Antes de cambiar el filtro de URL, determine si la petición de la LAN llegó alguna vez a la puerta de enlace.
Para un destino IPv4 conectado directamente, el cliente puede resolver la dirección de capa de enlace del destino y enviarle en el segmento local. Su puerta de enlace predeterminada no está automáticamente en esa ruta. Una regla de interceptación transparente en la puerta de enlace no puede redirigir paquetes que la puerta de enlace nunca recibe.
Por ejemplo, dos hosts de la misma subred enlazada pueden intercambiar tráfico a través de un conmutador mientras el equipo proxy está conectado a otro puerto del conmutador. Estar solo en esa LAN no convierte al proxy en el punto de reenvío.
Elija la ruta prevista
Una configuración de proxy explícita puede enviar la petición de la aplicación participante al proxy incluso cuando el sitio web de destino es local. Revise también las reglas de omisión y las decisiones PAC: pueden elegir deliberadamente DIRECT para nombres o direcciones privadas.
Si se requiere interceptación, la red debe situar realmente el punto de interceptación en la ruta; en una puerta de enlace Linux, distinga las rutas de paquetes locales y reenviadas. La separación de subredes por enrutamiento o un puente deliberadamente en línea pueden lograrlo en diseños adecuados, pero cada uno cambia el comportamiento de reenvío y de fallo. Un puente en otro lugar de la LAN no está automáticamente en línea.
Mantenga por separado el requisito del protocolo de aplicación. Incluso después de que el tráfico cruce el equipo, el receptor debe admitir el modo de interceptación. Mover los paquetes no es permiso para descifrar HTTPS ni garantía de que un puerto SOCKS ordinario pueda aceptarlos.
Registre la ruta elegida por el cliente, el segmento local y el dispositivo de reenvío real. Un registro de proxy ausente puede ser una descripción correcta de la topología y no un fallo de registro.