Welk Linux-pakketpad moet proxygebruik afdwingen?
Plaats de handhavingscontroles voor de netwerkproxy op het pakketpad dat ze moeten beheren, in plaats van alleen verbindingen naar de gateway te filteren.
Een Linux-gateway kan het proxyproces draaien en tegelijk verkeer erlangs routeren. Dat is niet hetzelfde pakketpad.
| Verbinding | Relevante lokale rol |
|---|---|
| Client bereikt de proxy op de gateway | Verkeer gericht aan de lokale host |
| Client bereikt een andere host via de gateway | Doorgestuurd verkeer |
| De proxy opent een websiteverbinding | Verkeer gegenereerd door een lokaal proces |
Netfilter onderscheidt invoer-, doorvoer- en uitvoerpaden. Een regel die de toegang tot de eigen proxylistener van de gateway beheert, beperkt niet automatisch elke gerouteerde verbinding via die machine.
Bepaal wat moet worden afgedwongen
Als clients de goedgekeurde proxy moeten gebruiken, moet het beleid ook hun alternatieve uitgaande routes aanpakken naast het toestaan van de bedoelde listener. Verbindingen naar elke externe dienst toestaan alleen omdat die de bekende proxy-poort gebruikt, is niet hetzelfde als alleen uw eigen proxy-eindpunt toestaan.
Houd de eigen doorgaande toegang van de proxy apart. Voor Squid, onderscheid lokale socket-eigendom van LAN-gebruikersidentiteit voordat u een uitgaande toestemming toepast. Alle nuttige uitgaande verbindingen van de proxy weigeren zou het vereiste pad onbruikbaar maken. Beheerverkeer, naamresolutie en ondersteunde niet-webhandelingen vragen ook om bewuste behandeling in het implementatiebeleid.
Protocolbereik is belangrijk. Een TCP-regel beschrijft op zichzelf geen UDP-verkeer, inclusief QUIC. Verkeer onderscheppen is weer een ander ontwerp; een expliciete HTTPS-proxy kan CONNECT bieden zonder de websitesessie te ontsleutelen.
Breng de bedoelde verbindingen in kaart voordat u een regelset bewerkt. Een browserinstelling kiest een route voor deelnemende clients. Netwerkhandhaving bepaalt welke andere routes kunnen slagen. Geen van beide mag alleen uit een werkende aanmelding bij de proxy worden afgeleid.