Kuram Linux paketes ceļam jāuzspiež starpniekservera lietošana?
Novietojiet tīkla starpniekservera uzspiešanas kontroles uz paketes ceļa, kuru tām jāpārvalda, tā vietā lai filtrētu tikai savienojumus uz vārteju.
Linux vārteja var darbināt starpniekservera procesu un vienlaikus maršrutēt datplūsmu tam garām. Tie nav vieni un tie paši paketes ceļi.
| Savienojums | Attiecīgā vietējā loma |
|---|---|
| Klients sasniedz starpniekserveri uz vārtejas | Datplūsma, kas adresēta vietējam resursdatoram |
| Klients sasniedz citu resursdatoru caur vārteju | Pārsūtītā datplūsma |
| Starpniekserveris atver tīmekļa vietnes savienojumu | Datplūsma, ko ģenerē vietējais process |
Netfilter atšķir ievades, pārsūtīšanas un izvades ceļus. Noteikums, kas pārvalda piekļuvi pašas vārtejas starpniekservera klausītājam, automātiski neierobežo katru maršrutēto savienojumu caur šo mašīnu.
Definējiet, kas jāuzspiež
Ja klientiem jāizmanto apstiprinātais starpniekserveris, politikai jārisina arī viņu alternatīvie izejošie maršruti, papildus paredzētā klausītāja atļaušanai. Atļaut savienojumus uz jebkuru attālu pakalpojumu tikai tāpēc, ka tas izmanto pazīstamo starpniekservera portu, nav tas pats, kas atļaut tikai savu starpniekservera galapunktu.
Turiet paša starpniekservera tālāko piekļuvi atsevišķi. Programmā Squid atšķiriet vietējās ligzdas īpašumtiesības no LAN lietotāja identitātes pirms izejas atļaujas piemērošanas. Visu lietderīgo izejošo savienojumu liegšana starpniekserverim padarītu nepieciešamo ceļu nepieejamu. Pārvaldības datplūsmai, vārdu atrisināšanai un atbalstītajām ne-tīmekļa operācijām arī vajadzīga apzināta apstrāde izvietošanas politikā.
Protokola tvērums ir svarīgs. TCP noteikums pats par sevi neapraksta UDP datplūsmu, tostarp QUIC. Datplūsmas pārtveršana ir cits projekts; skaidrs HTTPS starpniekserveris var nodrošināt CONNECT, neatšifrējot tīmekļa vietnes sesiju.
Pirms noteikumu kopas rediģēšanas kartējiet paredzētos savienojumus. Pārlūka izvēle nosaka maršrutu iesaistītajiem klientiem. Tīkla uzspiešana izlemj, kuri citi maršruti var gūt panākumus. Nevienu no tiem nevajadzētu secināt tikai no veiksmīgas pieteikšanās starpniekserverī.