Os sitios da mesma subrede poden eludir o proxy transparente dunha pasarela

A navegación por Internet aparece no rexistro do proxy da pasarela. Un sitio da LAN da oficina non. Antes de cambiar o filtro de URL, determine se a petición da LAN chegou algunha vez á pasarela.

Para un destino IPv4 conectado directamente, o cliente pode resolver o enderezo de capa de enlace do destino e enviarlle no segmento local. A súa pasarela predeterminada non está automaticamente nesa ruta. Unha regra de interceptación transparente na pasarela non pode redirixir paquetes que a pasarela nunca recibe.

Por exemplo, dous hosts da mesma subrede enlazada poden intercambiar tráfico a través dun conmutador mentres o equipo proxy está conectado a outro porto do conmutador. Estar só nesa LAN non converte o proxy no punto de reenvío.

Escolla a ruta prevista

Unha configuración de proxy explícita pode enviar a petición da aplicación participante ao proxy mesmo cando o sitio web obxectivo é local. Revise tamén as regras de omisión e as decisións PAC: poden escoller deliberadamente DIRECT para nomes ou enderezos privados.

Se se require interceptación, a rede debe situar realmente o punto de interceptación na ruta; nunha pasarela Linux, distinga as rutas de paquetes locais e reenviadas. A separación de subredes por encamiñamento ou unha ponte deliberadamente en liña poden facelo en deseños axeitados, pero cada unha cambia o comportamento de reenvío e de fallo. Unha ponte noutro lugar da LAN non está automaticamente en liña.

Manteña por separado o requisito do protocolo de aplicación. Incluso despois de que o tráfico cruce o equipo, o receptor debe admitir o modo de interceptación. Mover os paquetes non é permiso para descifrar HTTPS nin garantía de que un porto SOCKS ordinario poida aceptalos.

Rexistre a ruta escollida polo cliente, o segmento local e o dispositivo de reenvío real. Un rexistro de proxy ausente pode ser unha descrición correcta da topoloxía e non un fallo de rexistro.