کدام مسیر بسته لینوکس باید استفاده از پراکسی را اعمال کند؟
کنترل‌های اعمال پراکسی شبکه را روی همان مسیر بسته‌ای قرار دهید که باید بر آن حکومت کنند، نه اینکه فقط اتصال‌های به درگاه را پالایش کنید.
یک درگاه لینوکس می‌تواند فرایند پراکسی را اجرا کند و همزمان ترافیک را از کنار آن مسیریابی کند. این‌ها یک مسیر بسته نیستند.
| اتصال | نقش محلی مرتبط |
|---|---|
| کلاینت به پراکسی روی درگاه می‌رسد | ترافیک خطاب‌شده به میزبان محلی |
| کلاینت از طریق درگاه به میزبان دیگری می‌رسد | ترافیک ارسال‌شده |
| پراکسی یک اتصال وب‌سایت باز می‌کند | ترافیکی که یک فرایند محلی تولید می‌کند |
Netfilter میان مسیرهای ورودی، ارسال و خروجی تفاوت می‌گذارد. قاعده‌ای که دسترسی به شنونده پراکسی خود درگاه را اداره می‌کند، به‌طور خودکار هر اتصال مسیریابی‌شده از آن ماشین را محدود نمی‌کند.
تعیین کنید چه چیزی باید اعمال شود
اگر کلاینت‌ها باید از پراکسی تأییدشده استفاده کنند، سیاست باید مسیرهای خروجی جایگزین آن‌ها را نیز در کنار اجازه دادن به شنونده موردنظر پوشش دهد. اجازه دادن به اتصال به هر سرویس دور تنها به این دلیل که از درگاه پراکسی آشنا استفاده می‌کند، همانند اجازه دادن فقط به نقطه پایانی پراکسی شما نیست.
دسترسی رو‌به‌جلوی خود پراکسی را جدا نگه دارید. برای Squid، پیش از اعمال مجوز خروج مالکیت سوکت محلی را از هویت کاربر شبکه محلی جدا کنید. رد کردن همه اتصال‌های خروجی سودمند پراکسی، مسیر لازم را غیرقابل استفاده می‌کند. ترافیک مدیریت، حل نام و عملیات غیروبی پشتیبانی‌شده نیز در سیاست استقرار به برخورد سنجیده نیاز دارند.
دامنه پروتکل مهم است. قاعده TCP به‌خودی‌خود ترافیک UDP، از جمله QUIC، را توصیف نمی‌کند. رهگیری ترافیک طراحی دیگری است؛ پراکسی HTTPS صریح می‌تواند CONNECT را بدون رمزگشایی نشست وب‌سایت فراهم کند.
پیش از ویرایش مجموعه قواعد، اتصال‌های موردنظر را نقشه‌برداری کنید. ترجیح مرورگر مسیری را برای کلاینت‌های مشارکت‌کننده انتخاب می‌کند. اعمال شبکه تعیین می‌کند کدام مسیرهای دیگر می‌توانند موفق شوند. هیچ‌یک نباید تنها از یک ورود موفق به پراکسی استنتاج شود.