Qual caminho de pacotes do Linux deve impor o uso do proxy?
Coloque os controles de imposição do proxy de rede no caminho de pacotes que eles devem governar, em vez de filtrar apenas as conexões para o gateway.
Um gateway Linux pode executar o processo do proxy e também encaminhar tráfego ao lado dele. Não são o mesmo caminho de pacotes.
| Conexão | Papel local relevante |
|---|---|
| O cliente alcança o proxy no gateway | Tráfego endereçado ao host local |
| O cliente alcança outro host através do gateway | Tráfego encaminhado |
| O proxy abre uma conexão com um site | Tráfego gerado por um processo local |
O Netfilter distingue os caminhos de entrada, encaminhamento e saída. Uma regra que governa o acesso ao próprio ouvinte do proxy do gateway não restringe automaticamente cada conexão roteada por aquela máquina.
Defina o que deve ser imposto
Se os clientes devem usar o proxy aprovado, a política precisa tratar também das suas rotas de saída alternativas, além de permitir o ouvinte pretendido. Permitir conexões a qualquer serviço remoto só porque ele usa a porta de proxy habitual não é o mesmo que permitir apenas o seu ponto final de proxy.
Mantenha separado o acesso próprio do proxy para fora. No Squid, distinga a propriedade do socket local da identidade do usuário da LAN antes de aplicar uma permissão de saída. Negar todas as conexões de saída úteis do proxy tornaria o caminho necessário indisponível. O tráfego de gestão, a resolução de nomes e as operações não web suportadas também precisam de tratamento deliberado na política da implantação.
O escopo do protocolo importa. Uma regra TCP não descreve por si só o tráfego UDP, incluindo QUIC. Interceptar tráfego é outro desenho; um proxy HTTPS explícito pode fornecer CONNECT sem decifrar a sessão do site.
Mapeie as conexões pretendidas antes de editar um conjunto de regras. Uma preferência do navegador seleciona uma rota para os clientes participantes. A imposição na rede decide quais outras rotas podem ter sucesso. Nenhuma das duas deve ser inferida apenas de um login bem-sucedido no proxy.