Milline Linuxi paketitee peaks proxy kasutamist jõustama?
Asetage võrguproxy jõustamiskontrollid paketiteele, mida need peaksid valitsema, selle asemel et filtreerida ainult ühendusi lüüsini.
Linuxi lüüs saab käivitada proxy protsessi ja samal ajal suunata liiklust sellest mööda. Need ei ole sama paketitee.
| Ühendus | Asjakohane kohalik roll |
|---|---|
| Klient jõuab lüüsil oleva proxyni | Kohalikule hostile adresseeritud liiklus |
| Klient jõuab läbi lüüsi teise hostini | Edastatud liiklus |
| Proxy avab veebisaidi ühenduse | Kohaliku protsessi tekitatud liiklus |
Netfilter eristab sisend-, edastus- ja väljundteid. Reegel, mis reguleerib juurdepääsu lüüsi enda proxy kuulajale, ei piira automaatselt iga marsruuditud ühendust selle masina kaudu.
Määratlege, mida tuleb jõustada
Kui kliendid peavad kasutama kinnitatud proxyt, peab poliitika käsitlema ka nende alternatiivseid väljuvaid marsruute, lisaks kavandatud kuulaja lubamisele. Ühenduste lubamine mis tahes kaugteenusesse ainult seetõttu, et see kasutab tuttavat proxy porti, ei ole sama mis ainult teie proxy lõpp-punkti lubamine.
Hoidke proxy enda edasine juurdepääs eraldi. Squidi puhul eristage kohaliku sokli omandit LAN-i kasutaja identiteedist enne väljundloa rakendamist. Kõigi kasulike väljuvate ühenduste keelamine proxylt muudaks vajaliku tee kättesaamatuks. Haldusliiklus, nimede lahendamine ja toetatud mitte-veebi toimingud vajavad samuti juurutus poliitikas teadlikku käsitlemist.
Protokolli ulatus on oluline. TCP reegel iseenesest ei kirjelda UDP liiklust, sealhulgas QUIC. Liikluse vaheltpeilimine on taas teine disain; selgesõnaline HTTPS proxy saab pakkuda CONNECTi veebisaidi seanssi dekrüpteerimata.
Kaardistage kavandatud ühendused enne reeglistiku muutmist. Brauseri eelistus valib osalevatele klientidele marsruudi. Võrgu jõustamine otsustab, millised teised marsruudid saavad õnnestuda. Kumbagi ei tohiks tuletada ainult proxysse sisselogimise õnnestumisest.