I siti nella stessa sottorete possono aggirare il proxy trasparente di un gateway
Spiega perché il traffico della stessa sottorete può aggirare una regola di intercettazione del gateway mentre le richieste Internet compaiono nel suo registro.
La navigazione in Internet compare nel registro del proxy del gateway. Un sito sulla LAN dell'ufficio no. Prima di modificare il filtro URL, stabilite se la richiesta LAN ha mai raggiunto il gateway.
Per una destinazione IPv4 connessa direttamente, il client può risolvere l'indirizzo di livello collegamento della destinazione e inviarvi sul segmento locale. Il suo gateway predefinito non è automaticamente su quel percorso. Una regola di intercettazione trasparente sul gateway non può reindirizzare pacchetti che il gateway non riceve mai.
Ad esempio, due host nella stessa sottorete on-link possono scambiare traffico attraverso uno switch mentre la macchina proxy è collegata a un'altra porta dello switch. Il solo fatto di trovarsi su quella LAN non rende il proxy il punto di inoltro.
Scegliere il percorso previsto
Un'impostazione proxy esplicita può inviare la richiesta dell'applicazione partecipante al proxy anche quando il sito di destinazione è locale. Controllate anche le regole di bypass e le decisioni PAC: possono scegliere deliberatamente DIRECT per nomi o indirizzi privati.
Se è richiesta l'intercettazione, la rete deve realmente collocare il punto di intercettazione nel percorso; su un gateway Linux, distinguete i percorsi dei pacchetti locali e inoltrati. La separazione delle sottoreti tramite routing o un bridge deliberatamente in linea possono farlo in progetti adeguati, ma ciascuno cambia il comportamento di inoltro e di guasto. Un bridge altrove sulla LAN non è automaticamente in linea.
Tenete separato il requisito del protocollo applicativo. Anche dopo che il traffico attraversa il dispositivo, l'ascoltatore deve supportare la modalità di intercettazione. Spostare i pacchetti non è un permesso per decifrare HTTPS né una garanzia che una normale porta SOCKS possa accettarli.
Registrate il percorso scelto dal client, il segmento locale e il dispositivo di inoltro effettivo. Un registro proxy mancante può essere una descrizione corretta della topologia e non un guasto della registrazione.