A Linux melyik csomagútvonalán kell kikényszeríteni a proxy használatát?
A hálózati proxy kikényszerítését szabályozó vezérlőket arra a csomagútvonalra helyezze, amelyet kezelniük kell, ahelyett hogy csak az átjáróhoz irányuló kapcsolatokat szűrné.
Egy Linux átjáró futtathatja a proxy folyamatot, és közben el is kerülheti azt a forgalom útvonalán. Ezek nem ugyanaz a csomagútvonal.
| Kapcsolat | Releváns helyi szerep |
|---|---|
| Az ügyfél eléri az átjárón futó proxyt | A helyi hoszthoz címzett forgalom |
| Az ügyfél az átjárón keresztül ér el egy másik hostot | Továbbított forgalom |
| A proxy webhelykapcsolatot nyit | Helyi folyamat által generált forgalom |
A Netfilter megkülönbözteti a bemeneti, a továbbítási és a kimeneti útvonalat. Az átjáró saját proxyfigyelőjéhez való hozzáférést szabályozó szabály nem korlátozza automatikusan a gépen keresztülhaladó minden irányított kapcsolatot.
Határozza meg, mit kell kikényszeríteni
Ha az ügyfeleknek a jóváhagyott proxyt kell használniuk, a házirendnek a szándékolt figyelő engedélyezése mellett az alternatív kimenő útvonalaikat is kezelnie kell. Az a megszokott proxyport miatt engedélyezett kapcsolat bármely távoli szolgáltatáshoz nem ugyanaz, mint kizárólag a saját proxyvégpont engedélyezése.
Tartsa külön a proxy saját továbbító hozzáférését. A Squid esetében különböztesse meg a helyi socket tulajdonjogát a LAN-felhasználó identitásától, mielőtt kimenő engedélyt alkalmaz. Ha a proxy minden hasznos kimenő kapcsolatát megtagadják, a szükséges útvonal elérhetetlenné válik. A kezelőforgalom, a névfeloldás és a támogatott nem webes műveletek szintén szándékos kezelést igényelnek az üzembe helyezés házirendjében.
A protokollhatókör számít. A TCP-szabály önmagában nem írja le az UDP-forgalmat, beleértve a QUIC-et sem. A forgalom elfogása más tervezés; egy kifejezett HTTPS-proxy CONNECT-et nyújthat a webhely-munkamenet visszafejtése nélkül.
A szabálykészlet szerkesztése előtt térképezze fel a szándékolt kapcsolatokat. A böngészőbeállítás útvonalat választ a részt vevő ügyfelek számára. A hálózati kikényszerítés dönti el, mely más útvonalak lehetnek sikeresek. Egyiket sem szabad kizárólag egy működő proxybejelentkezésből kikövetkeztetni.