Quel chemin de paquets Linux doit imposer l'usage du proxy ?
Placez les contrôles d'application du proxy réseau sur le chemin de paquets qu'ils doivent gouverner, au lieu de filtrer uniquement les connexions vers la passerelle.
Une passerelle Linux peut exécuter le processus proxy et acheminer aussi du trafic à côté de lui. Ce ne sont pas les mêmes chemins de paquets.
| Connexion | Rôle local concerné |
|---|---|
| Le client joint le proxy sur la passerelle | Trafic adressé à l'hôte local |
| Le client joint un autre hôte via la passerelle | Trafic transféré |
| Le proxy ouvre une connexion à un site web | Trafic généré par un processus local |
Netfilter distingue les chemins d'entrée, de transfert et de sortie. Une règle qui gouverne l'accès au propre écouteur du proxy de la passerelle ne limite pas automatiquement chaque connexion routée par cette machine.
Définir ce qui doit être imposé
Si les clients doivent utiliser le proxy approuvé, la politique doit traiter aussi leurs routes sortantes alternatives en plus d'autoriser l'écouteur prévu. Autoriser des connexions vers n'importe quel service distant simplement parce qu'il utilise le port proxy habituel n'est pas la même chose que n'autoriser que votre point de terminaison proxy.
Gardez l'accès sortant du proxy lui-même séparé. Pour Squid, distinguez la propriété du socket local de l'identité de l'utilisateur du LAN avant d'appliquer une autorisation de sortie. Refuser toutes les connexions sortantes utiles du proxy rendrait le chemin requis indisponible. Le trafic de gestion, la résolution de noms et les opérations non web prises en charge demandent aussi un traitement délibéré dans la politique de déploiement.
La portée du protocole compte. Une règle TCP ne décrit pas à elle seule le trafic UDP, y compris QUIC. L'interception du trafic est une autre conception ; un proxy HTTPS explicite peut fournir CONNECT sans déchiffrer la session du site web.
Cartographiez les connexions prévues avant de modifier un jeu de règles. Une préférence de navigateur choisit une route pour les clients participants. L'application réseau décide quelles autres routes peuvent réussir. Ni l'une ni l'autre ne devrait être déduite uniquement d'une connexion réussie au proxy.