Jalur paket Linux mana yang harus menegakkan penggunaan proxy?
Tempatkan kendali penegakan proxy jaringan pada jalur paket yang seharusnya mereka atur, alih-alih hanya memfilter koneksi ke gateway itu sendiri.
Gateway Linux dapat menjalankan proses proxy dan juga merutekan lalu lintas melewatinya. Keduanya bukan jalur paket yang sama.
| Koneksi | Peran lokal yang relevan |
|---|---|
| Klien mencapai proxy di gateway | Lalu lintas yang dialamatkan ke host lokal |
| Klien mencapai host lain melalui gateway | Lalu lintas yang diteruskan |
| Proxy membuka koneksi situs web | Lalu lintas yang dihasilkan proses lokal |
Netfilter membedakan jalur input, forward, dan output. Aturan yang mengatur akses ke listener proxy milik gateway tidak secara otomatis membatasi setiap koneksi yang dirutekan melalui mesin itu.
Tentukan apa yang harus ditegakkan
Jika klien harus memakai proxy yang disetujui, kebijakan perlu menangani rute keluar alternatif mereka selain mengizinkan listener yang dimaksud. Mengizinkan koneksi ke layanan jarak jauh mana pun hanya karena memakai port proxy yang lazim tidak sama dengan hanya mengizinkan titik akhir proxy Anda.
Pisahkan akses lanjutan proxy itu sendiri. Untuk Squid, bedakan kepemilikan soket lokal dari identitas pengguna LAN sebelum menerapkan izin keluar. Menolak semua koneksi keluar yang berguna dari proxy akan membuat jalur yang diperlukan tidak tersedia. Lalu lintas manajemen, resolusi nama, dan operasi non-web yang didukung juga memerlukan penanganan yang disengaja dalam kebijakan penerapan.
Cakupan protokol penting. Aturan TCP tidak dengan sendirinya menjelaskan lalu lintas UDP, termasuk QUIC. Mencegat lalu lintas adalah rancangan lain; proxy HTTPS eksplisit dapat menyediakan CONNECT tanpa mendekripsi sesi situs web.
Petakan koneksi yang dimaksud sebelum menyunting kumpulan aturan. Preferensi peramban memilih rute bagi klien yang berpartisipasi. Penegakan jaringan memutuskan rute lain mana yang dapat berhasil. Keduanya tidak boleh disimpulkan hanya dari login yang berhasil ke proxy.