Laluan paket Linux yang manakah harus menguatkuasakan penggunaan proksi?
Letakkan kawalan penguatkuasaan proksi rangkaian pada laluan paket yang sepatutnya dikawalnya, bukan hanya menapis sambungan ke gateway sahaja.
Gerbang Linux boleh menjalankan proses proksi dan juga menghalakan trafik di sisinya. Ini bukan laluan paket yang sama.
| Sambungan | Peranan tempatan yang berkaitan |
|---|---|
| Klien sampai ke proksi pada gerbang | Trafik yang dialamatkan ke hos tempatan |
| Klien sampai ke hos lain melalui gerbang | Trafik yang dimajukan |
| Proksi membuka sambungan laman web | Trafik yang dijana oleh proses tempatan |
Netfilter membezakan laluan input, hadapan dan output. Peraturan yang mengawal akses kepada pendengar proksi gerbang itu sendiri tidak secara automatik mengehadkan setiap sambungan berhalakan melalui mesin itu.
Tentukan apa yang perlu dikuatkuasakan
Jika klien mesti menggunakan proksi yang diluluskan, dasar perlu menangani laluan keluar alternatif mereka di samping membenarkan pendengar yang dimaksudkan. Membenarkan sambungan ke mana-mana perkhidmatan jauh hanya kerana ia menggunakan port proksi biasa bukanlah sama dengan hanya membenarkan titik akhir proksi anda.
Asingkan akses keluar proksi itu sendiri. Untuk Squid, bezakan pemilikan soket tempatan daripada identiti pengguna LAN sebelum mengenakan kebenaran keluar. Menafikan semua sambungan keluar yang berguna daripada proksi akan menjadikan laluan yang diperlukan tidak tersedia. Trafik pengurusan, penyelesaian nama dan operasi bukan web yang disokong juga memerlukan layanan yang disengajakan dalam dasar penggunaan.
Skop protokol penting. Peraturan TCP tidak dengan sendirinya menerangkan trafik UDP, termasuk QUIC. Memintas trafik ialah reka bentuk lain; proksi HTTPS eksplisit boleh menyediakan CONNECT tanpa menyahsulit sesi laman web.
Petakan sambungan yang dimaksudkan sebelum menyunting set peraturan. Keutamaan pelayar memilih laluan untuk klien yang menyertai. Penguatkuasaan rangkaian menentukan laluan lain mana yang boleh berjaya. Kedua-duanya tidak boleh disimpulkan hanya daripada log masuk yang berjaya ke proksi.