Hvilken Linux-pakkesti skal håndheve proxybruk?
Sett håndhevelseskontrollene for nettverksproxyen på pakkestien de skal styre, framfor å filtrere bare tilkoblinger mot gatewayen.
En Linux-gateway kan kjøre proxyprosessen og samtidig sende trafikk utenom den. Dette er ikke den samme pakkestien.
| Tilkobling | Aktuell lokal rolle |
|---|---|
| Klienten når proxyen på gatewayen | Trafikk rettet mot den lokale verten |
| Klienten når en annen vert via gatewayen | Videresendt trafikk |
| Proxyen åpner en forbindelse til et nettsted | Trafikk skapt av en lokal prosess |
Netfilter holder inngangs-, videresendings- og utgangsstier fra hverandre. En regel for tilgang til gatewayens egen proxylistener begrenser ikke automatisk alle rutede tilkoblinger gjennom maskinen.
Avgjør hva som skal håndheves
Skal klientene bruke den godkjente proxyen, må reglene også dekke de alternative utgangsrutene deres, ikke bare slippe til den tiltenkte listeneren. Å åpne for enhver ekstern tjeneste fordi den ligger på den vanlige proxyporten er noe annet enn å åpne bare for ditt eget proxy-endepunkt.
Hold proxyens egen videre tilgang for seg. I Squid, skiller du lokal socket-eierskap fra LAN-brukerens identitet før du gir en utgangstillatelse. Å avvise alle nyttige utgangstilkoblinger fra proxyen ville gjøre den påkrevde stien ubrukelig. Driftstrafikk, navneoppslag og støttede ikke-nettoperasjoner krever også en bevisst behandling i utrullingsreglene.
Protokollomfanget spiller inn. En TCP-regel sier ikke i seg selv noe om UDP-trafikk, også QUIC. Trafikkavskjæring er en annen konstruksjon; en eksplisitt HTTPS-proxy kan gi CONNECT uten å dekryptere nettstedøkten.
Tegn opp de tiltenkte tilkoblingene før du endrer et regelverk. Nettleserinnstillingen peker ut en rute for klientene som deltar. Nettverkshåndhevelsen bestemmer hvilke andre ruter som kan fungere. Ingen av delene bør sluttes bare av at innloggingen mot proxyen virker.