Websites in hetzelfde subnet kunnen de transparante proxy van een gateway omzeilen

Internetbrowsen verschijnt in het log van de gateway-proxy. Een website op de kantoor-LAN niet. Bepaal voordat u het URL-filter wijzigt of het LAN-verzoek de gateway ooit heeft bereikt.

Voor een direct verbonden IPv4-bestemming kan de client het link-laagadres van de bestemming oplossen en daarop verzenden op het lokale segment. De standaardgateway ligt niet automatisch op dat pad. Een transparante onderscheppingsregel op de gateway kan pakketten die de gateway nooit ontvangt niet omleiden.

Twee hosts in hetzelfde on-link-subnet kunnen bijvoorbeeld verkeer via een switch uitwisselen terwijl de proxymachine op een andere switchpoort is aangesloten. Alleen op die LAN aanwezig zijn maakt de proxy niet het doorstuurpunt.

Kies het bedoelde pad

Een expliciete proxy-instelling kan het verzoek van de deelnemende applicatie naar de proxy sturen, zelfs wanneer de doelwebsite lokaal is. Controleer ook bypass-regels en PAC-beslissingen: die kunnen bewust DIRECT kiezen voor privénamen of -adressen.

Als onderschepping nodig is, moet het netwerk het onderscheppingspunt daadwerkelijk in het pad plaatsen; onderscheid op een Linux-gateway lokale en doorgestuurde pakketpaden. Gerouteerde subnetscheiding of een bewust inline geschakelde bridge kan dat in geschikte ontwerpen doen, maar elk verandert het doorstuur- en faalgedrag. Een bridge elders op de LAN is niet automatisch inline.

Houd de eis van het applicatieprotocol apart. Zelfs nadat het verkeer het apparaat heeft gepasseerd, moet de listener de onderscheppingsmodus ondersteunen. Pakketten verplaatsen is geen toestemming om HTTPS te ontsleutelen en geen garantie dat een gewone SOCKS-poort ze kan accepteren.

Leg de door de client gekozen route, het lokale segment en het werkelijke doorstuurapparaat vast. Een ontbrekend proxylog kan een correcte beschrijving van de topologie zijn en geen logfout.