Quale percorso dei pacchetti Linux deve imporre l'uso del proxy?
Collocate i controlli di imposizione del proxy di rete sul percorso dei pacchetti che devono governare, invece di filtrare solo le connessioni verso il gateway.
Un gateway Linux può eseguire il processo proxy e anche instradare traffico accanto ad esso. Non sono lo stesso percorso dei pacchetti.
| Connessione | Ruolo locale rilevante |
|---|---|
| Il client raggiunge il proxy sul gateway | Traffico indirizzato all'host locale |
| Il client raggiunge un altro host attraverso il gateway | Traffico inoltrato |
| Il proxy apre una connessione a un sito web | Traffico generato da un processo locale |
Netfilter distingue i percorsi di ingresso, inoltro e uscita. Una regola che governa l'accesso al listener del proxy del gateway non limita automaticamente ogni connessione instradata attraverso quella macchina.
Definire cosa deve essere imposto
Se i client devono usare il proxy approvato, la politica deve affrontare anche le loro rotte in uscita alternative oltre a consentire il listener previsto. Consentire connessioni verso qualsiasi servizio remoto solo perché usa la familiare porta proxy non è lo stesso che consentire solo il proprio endpoint proxy.
Tenete separato l'accesso successivo del proxy stesso. Per Squid, distinguete la proprietà del socket locale dall'identità dell'utente LAN prima di applicare un'autorizzazione in uscita. Negare tutte le connessioni in uscita utili del proxy renderebbe indisponibile il percorso richiesto. Anche il traffico di gestione, la risoluzione dei nomi e le operazioni non web supportate richiedono un trattamento deliberato nella politica di distribuzione.
L'ambito del protocollo conta. Una regola TCP non descrive da sola il traffico UDP, incluso QUIC. L'intercettazione del traffico è un altro progetto; un proxy HTTPS esplicito può fornire CONNECT senza decifrare la sessione del sito web.
Mappate le connessioni previste prima di modificare un insieme di regole. Una preferenza del browser seleziona una rotta per i client partecipanti. L'imposizione di rete decide quali altre rotte possono riuscire. Nessuna delle due dovrebbe essere dedotta solo da un accesso riuscito al proxy.