¿Qué ruta de paquetes de Linux debe aplicar el uso del proxy?
Coloque los controles de aplicación del proxy de red en la ruta de paquetes que deben gobernar, en lugar de filtrar solo las conexiones hacia la puerta de enlace.
Una puerta de enlace Linux puede ejecutar el proceso del proxy y también enrutar tráfico por fuera de él. No son la misma ruta de paquetes.
| Conexión | Función local relevante |
|---|---|
| El cliente llega al proxy en la puerta de enlace | Tráfico dirigido al host local |
| El cliente llega a otro host a través de la puerta de enlace | Tráfico reenviado |
| El proxy abre una conexión a un sitio web | Tráfico generado por un proceso local |
Netfilter distingue las rutas de entrada, reenvío y salida. Una regla que gobierna el acceso al propio receptor del proxy de la puerta de enlace no restringe automáticamente cada conexión enrutada a través de esa máquina.
Defina qué debe aplicarse
Si los clientes deben usar el proxy aprobado, la política debe abordar también sus rutas de salida alternativas, además de permitir el receptor previsto. Permitir conexiones a cualquier servicio remoto solo porque usa el puerto de proxy habitual no es lo mismo que permitir únicamente su punto final de proxy.
Mantenga separado el acceso propio del proxy hacia el exterior. En Squid, distinga la propiedad del socket local de la identidad del usuario de la LAN antes de aplicar un permiso de salida. Denegar todas las conexiones de salida útiles del proxy dejaría la ruta requerida inutilizable. El tráfico de administración, la resolución de nombres y las operaciones no web admitidas también necesitan un tratamiento deliberado en la política del despliegue.
El alcance del protocolo importa. Una regla TCP no describe por sí sola el tráfico UDP, incluido QUIC. Interceptar tráfico es otro diseño; un proxy HTTPS explícito puede proporcionar CONNECT sin descifrar la sesión del sitio web.
Trace un mapa de las conexiones previstas antes de editar un conjunto de reglas. Una preferencia del navegador selecciona una ruta para los clientes participantes. La aplicación en la red decide qué otras rutas pueden funcionar. Ninguna de las dos debería inferirse solo de un inicio de sesión correcto en el proxy.