איזה נתיב חבילות בלינוקס אמור לאכוף שימוש בפרוקסי?
מקמו את בקרות האכיפה של פרוקסי הרשת בנתיב החבילות שנועדו לשלוט בו, במקום לסנן רק חיבורים אל השער עצמו.
שער לינוקס יכול להריץ את תהליך הפרוקסי וגם לנתב תעבורה סביבו. אלה אינם אותו נתיב חבילות.
| חיבור | תפקיד מקומי רלוונטי |
|---|---|
| הלקוח מגיע לפרוקסי בשער | תעבורה הממוענת למארח המקומי |
| הלקוח מגיע למארח אחר דרך השער | תעבורה מועברת |
| הפרוקסי פותח חיבור לאתר | תעבורה שנוצרת על ידי תהליך מקומי |
Netfilter מבחין בין נתיבי קלט, העברה ופלט. כלל שמנהל גישה למאזין הפרוקסי של השער עצמו אינו מגביל אוטומטית כל חיבור מנותב דרך אותה מכונה.
הגדירו מה חייב להיאכף
אם הלקוחות חייבים להשתמש בפרוקסי המאושר, המדיניות צריכה לטפל גם במסלולי היציאה החלופיים שלהם, לצד אישור המאזין המיועד. אישור חיבורים לכל שירות מרוחק רק משום שהוא משתמש בפורט הפרוקסי המוכר אינו זהה לאישור נקודת הקצה של הפרוקסי שלכם בלבד.
הפרידו את הגישה היוצאת של הפרוקסי עצמו. ב-Squid, הבחינו בין בעלות על סוקט מקומי לבין זהות משתמש ה-LAN לפני החלת הרשאת יציאה. שלילת כל חיבורי היציאה השימושיים מהפרוקסי תהפוך את הנתיב הנדרש לבלתי זמין. תעבורת ניהול, פתרון שמות ופעולות לא-ווב נתמכות זקוקות גם הן לטיפול מכוון במדיניות הפריסה.
היקף הפרוטוקול חשוב. כלל TCP אינו מתאר כשלעצמו תעבורת UDP, כולל QUIC. יירוט תעבורה הוא תכנון אחר; פרוקסי HTTPS מפורש יכול לספק CONNECT בלי לפענח את הפעלת האתר.
מפו את החיבורים המיועדים לפני עריכת סט כללים. העדפת דפדפן בוחרת מסלול עבור לקוחות משתתפים. אכיפה ברשת מחליטה אילו מסלולים אחרים יכולים להצליח. אין להסיק אף אחד מהם רק מכניסה מוצלחת לפרוקסי.