Hvilken Linux-pakkesti bør håndheve proxybruk?
Plasser håndhevelseskontrollene for nettverksproxyen på den pakkestien de skal styre, i stedet for å filtrere bare tilkoblinger til gatewayen.
En Linux-gateway kan kjøre proxyprosessen og samtidig rute trafikk forbi den. Det er ikke samme pakkesti.
| Tilkobling | Relevant lokal rolle |
|---|---|
| Klienten når proxyen på gatewayen | Trafikk adressert til den lokale verten |
| Klienten når en annen vert gjennom gatewayen | Videresendt trafikk |
| Proxyen åpner en nettstedstilkobling | Trafikk generert av en lokal prosess |
Netfilter skiller mellom inngangs-, videresendings- og utgangsstier. En regel som styrer tilgangen til gatewayens egen proxylistener, begrenser ikke automatisk hver rutet tilkobling gjennom den maskinen.
Definer hva som skal håndheves
Hvis klientene må bruke den godkjente proxyen, må policyen også håndtere deres alternative utgående ruter i tillegg til å tillate den tiltenkte listeneren. Å tillate tilkoblinger til enhver ekstern tjeneste bare fordi den bruker den kjente proxyporten, er ikke det samme som å tillate bare ditt eget proxy-endepunkt.
Hold proxyens egen videre tilgang atskilt. For Squid, skille lokal socket-eierskap fra LAN-brukeridentitet før du bruker en utgående tillatelse. Å nekte alle nyttige utgående tilkoblinger fra proxyen ville gjøre den nødvendige stien utilgjengelig. Administrasjonstrafikk, navneoppslag og støttede ikke-nettoperasjoner trenger også bevisst behandling i utrullingspolicyen.
Protokollomfang betyr noe. En TCP-regel beskriver ikke i seg selv UDP-trafikk, inkludert QUIC. Avlytting av trafikk er en annen design; en eksplisitt HTTPS-proxy kan tilby CONNECT uten å dekryptere nettstedøkten.
Kartlegg de tiltenkte tilkoblingene før du redigerer et regelsett. En nettleserinnstilling velger en rute for deltakende klienter. Nettverkshåndhevelse avgjør hvilke andre ruter som kan lykkes. Ingen av dem bør utledes bare fra en fungerende pålogging til proxyen.