Site-urile din același subnet pot ocoli proxy-ul transparent al unui gateway
Explică de ce traficul din același subnet poate ocoli o regulă de interceptare a gateway-ului, în timp ce cererile către internet apar în jurnalul acestuia.
Navigarea pe internet apare în jurnalul proxy-ului gateway-ului. Un site din LAN-ul biroului nu. Înainte de a schimba filtrul URL, stabiliți dacă cererea din LAN a ajuns vreodată la gateway.
Pentru o destinație IPv4 conectată direct, clientul poate rezolva adresa de la nivelul de legătură al destinației și poate trimite către aceasta în segmentul local. Gateway-ul său implicit nu se află automat pe acea cale. O regulă de interceptare transparentă pe gateway nu poate redirecționa pachete pe care gateway-ul nu le primește niciodată.
De exemplu, două gazde din același subnet conectat direct pot schimba trafic printr-un comutator, în timp ce mașina proxy este conectată la alt port al comutatorului. Simpla prezență în acel LAN nu face din proxy punctul de redirecționare.
Alegeți calea dorită
O setare explicită de proxy poate trimite cererea aplicației participante la proxy chiar și atunci când site-ul țintă este local. Verificați și regulile de ocolire și deciziile PAC: acestea pot alege deliberat DIRECT pentru nume sau adrese private.
Dacă este necesară interceptarea, rețeaua trebuie să plaseze efectiv punctul de interceptare pe cale; pe un gateway Linux, distingeți căile pachetelor locale și redirecționate. Separarea subneturilor prin rutare sau un pod plasat deliberat în linie pot face acest lucru în proiecte adecvate, dar fiecare schimbă comportamentul de redirecționare și de eșec. Un pod în altă parte a LAN-ului nu este automat în linie.
Păstrați separat cerința protocolului aplicației. Chiar și după ce traficul traversează echipamentul, ascultătorul trebuie să accepte modul de interceptare. Mutarea pachetelor nu este permisiunea de a decripta HTTPS și nici garanția că un port SOCKS obișnuit le poate accepta.
Înregistrați ruta aleasă de client, segmentul local și dispozitivul real de redirecționare. Lipsa jurnalului proxy poate fi o descriere corectă a topologiei, nu o defecțiune de jurnalizare.