Która ścieżka pakietów w Linuksie powinna wymuszać korzystanie z proxy?
Umieść mechanizmy wymuszania sieciowego proxy na tej ścieżce pakietów, którą mają kontrolować, zamiast filtrować tylko połączenia do bramy.
Brama linuksowa może uruchamiać proces proxy i jednocześnie trasować ruch obok niego. To nie ta sama ścieżka pakietów.
| Połączenie | Odpowiednia rola lokalna |
|---|---|
| Klient dociera do proxy na bramie | Ruch adresowany do hosta lokalnego |
| Klient dociera do innego hosta przez bramę | Ruch przekazywany |
| Proxy otwiera połączenie z witryną | Ruch generowany przez lokalny proces |
Netfilter rozróżnia ścieżki wejścia, przekazywania i wyjścia. Reguła kontrolująca dostęp do własnego nasłuchu proxy bramy nie ogranicza automatycznie każdego trasowanego połączenia przez ten komputer.
Określ, co ma być wymuszane
Jeśli klienci mają używać zatwierdzonego proxy, polityka musi objąć także ich alternatywne trasy wyjściowe obok zezwolenia dla zamierzonego nasłuchu. Zezwalanie na połączenia z dowolną usługą zdalną tylko dlatego, że używa znanego portu proxy, nie jest tym samym co zezwalanie wyłącznie na własny punkt końcowy proxy.
Utrzymuj własny dalszy dostęp proxy osobno. W Squidzie odróżnij własność lokalnego gniazda od tożsamości użytkownika LAN przed zastosowaniem zezwolenia na ruch wychodzący. Odmowa wszystkich użytecznych połączeń wychodzących proxy uczyniłaby wymaganą ścieżkę niedostępną. Ruch zarządzający, rozwiązywanie nazw i obsługiwane operacje inne niż web również wymagają świadomego potraktowania w polityce wdrożenia.
Zakres protokołu ma znaczenie. Reguła TCP sama nie opisuje ruchu UDP, w tym QUIC. Przechwytywanie ruchu to inny projekt; jawny proxy HTTPS może zapewnić CONNECT bez odszyfrowywania sesji witryny.
Zmapuj zamierzone połączenia przed edycją zestawu reguł. Preferencja przeglądarki wybiera trasę dla uczestniczących klientów. Wymuszanie w sieci decyduje, które inne trasy mogą się powieść. Żadnego z nich nie należy wnioskować wyłącznie z działającego logowania do proxy.