Kva Linux-pakkesti bør handheve proxybruk?
Set handhevingskontrollane for nettverksproxyen på den pakkestien dei skal styre, i staden for å filtrere berre tilkoplingar til gatewayen.
Ein Linux-gateway kan køyre proxyprosessen og samstundes rute trafikk forbi han. Det er ikkje same pakkestien.
| Tilkopling | Relevant lokal rolle |
|---|---|
| Klienten når proxyen på gatewayen | Trafikk adressert til den lokale verten |
| Klienten når ein annan vert gjennom gatewayen | Vidaresend trafikk |
| Proxyen opnar ei nettsidetilkopling | Trafikk generert av ein lokal prosess |
Netfilter skil mellom inngangs-, vidaresendings- og utgangsstiar. Ein regel som styrer tilgangen til gatewayen sin eigen proxylsøkjar, avgrensar ikkje automatisk kvar ruta tilkopling gjennom den maskinen.
Definer kva som skal handhevast
Viss klientane må bruke den godkjende proxyen, må policyen også handsame dei alternative utgåande rutene deira i tillegg til å tillate den tiltenkte lyttaren. Å tillate tilkoplingar til kva som helst ekstern teneste berre fordi ho brukar den kjende proxyporten, er ikkje det same som å tillate berre ditt eige proxy-endepunkt.
Hald proxyen sin eigen vidare tilgang skild. For Squid, skil lokal sokkeleige frå LAN-brukaridentitet før du brukar ei utgåande løyve. Å nekte alle nyttige utgåande tilkoplingar frå proxyen ville gjere den nødvendige stien utilgjengeleg. Administrasjonstrafikk, namneoppslag og støtta ikkje-nettoperasjonar treng også medviten handsaming i utrullingspolicyen.
Protokollomfang er viktig. Ein TCP-regel skildrar ikkje i seg sjølv UDP-trafikk, inkludert QUIC. Avlytting av trafikk er ein annan design; ein eksplisitt HTTPS-proxy kan tilby CONNECT utan å dekryptere nettsideøkta.
Kartlegg dei tiltenkte tilkoplingane før du redigerer eit regelsett. Ei nettlesarinnstilling vel ei rute for deltakande klientar. Nettverkshandheving avgjer kva andre ruter som kan lukkast. Ingen av dei bør utleiast berre frå ei fungerande pålogging til proxyen.