同一サブネットの Web サイトはゲートウェイの透過プロキシを迂回できる

インターネットの閲覧はゲートウェイのプロキシログに残ります。オフィス LAN 上の Web サイトは残りません。URL フィルタを変更する前に、その LAN リクエストがそもそもゲートウェイに届いたかを確認してください。

直接接続された IPv4 宛先では、クライアントは宛先のリンク層アドレスを解決し、ローカルセグメント上でそこへ送信できます。既定ゲートウェイは自動的にその経路上にあるわけではありません。ゲートウェイ上の透過傍受ルールは、ゲートウェイが受け取らないパケットを転送させることはできません。

例えば、同じオンリンクサブネットの 2 台のホストはスイッチ経由で通信できますが、プロキシマシンは別のスイッチポートに接続されています。その LAN 上にいるだけでは、プロキシが転送点になるわけではありません。

意図した経路を選ぶ

明示的なプロキシ設定では、対象の Web サイトがローカルでも、参加するアプリケーションのリクエストをプロキシへ送れます。バイパスルールと PAC の判断も確認してください。プライベートな名前やアドレスに対して意図的に DIRECT を選ぶことがあります。

傍受が必要なら、ネットワークは傍受点を実際に経路上へ置かなければなりません。Linux ゲートウェイではローカルと転送のパケット経路を区別してください。ルーティングによるサブネット分離や意図的にインライン化したブリッジは適切な設計でそれを実現できますが、いずれも転送と障害の挙動を変えます。LAN の別の場所にあるブリッジが自動的にインラインになるわけではありません。

アプリケーションプロトコルの要件は別に扱ってください。通信が装置を通過した後でも、リスナーが傍受モードに対応している必要があります。パケットを移動させることは HTTPS を復号する許可でも、通常の SOCKS ポートが受け取れる保証でもありません。

クライアントが選択した経路、ローカルセグメント、実際の転送装置を記録してください。プロキシログの欠落は、記録の失敗ではなくトポロジの正しい記述である場合があります。