Koja putanja paketa u Linuxu treba provoditi upotrebu proxyja?
Postavite kontrole provođenja mrežnog proxyja na putanju paketa kojom trebaju upravljati, umjesto da filtrirate samo veze prema pristupniku.
Linux pristupnik može pokretati proxy proces i istodobno usmjeravati promet pored njega. To nije ista putanja paketa.
| Veza | Relevantna lokalna uloga |
|---|---|
| Klijent doseže proxy na pristupniku | Promet adresiran na lokalnog hosta |
| Klijent doseže drugi host kroz pristupnik | Proslijeđeni promet |
| Proxy otvara vezu prema web mjestu | Promet koji generira lokalni proces |
Netfilter razlikuje ulazne, proslijeđene i izlazne putanje. Pravilo koje upravlja pristupom vlastitom proxy slušaču pristupnika ne ograničava automatski svaku usmjerenu vezu kroz to računalo.
Definirajte što se mora provoditi
Ako klijenti moraju koristiti odobreni proxy, politika mora obraditi i njihove alternativne izlazne rute, uz dopuštanje predviđenog slušača. Dopuštanje veza prema bilo kojoj udaljenoj usluzi samo zato što koristi poznati proxy port nije isto kao dopuštanje samo vaše proxy završne točke.
Držite vlastiti daljnji pristup proxyja odvojeno. Za Squid razlikujte vlasništvo lokalnog socketa od identiteta LAN korisnika prije primjene izlaznog dopuštenja. Odbijanje svih korisnih izlaznih veza proxyja učinilo bi potrebnu putanju nedostupnom. Upravljački promet, razrješavanje imena i podržane ne-web operacije također trebaju namjernu obradu u politici postavljanja.
Opseg protokola je važan. TCP pravilo samo po sebi ne opisuje UDP promet, uključujući QUIC. Presretanje prometa je drugi dizajn; eksplicitni HTTPS proxy može pružiti CONNECT bez dešifriranja sesije web mjesta.
Mapirajte predviđene veze prije uređivanja skupa pravila. Postavka preglednika odabire rutu za klijente koji sudjeluju. Mrežno provođenje odlučuje koje druge rute mogu uspjeti. Ni jedno se ne smije zaključiti samo iz uspješne prijave na proxy.