Ce cale de pachete din Linux ar trebui să impună utilizarea proxy-ului?
Plasați controalele de impunere a proxy-ului de rețea pe calea de pachete pe care trebuie să o guverneze, în loc să filtrați doar conexiunile către gateway.
Un gateway Linux poate rula procesul proxy și, în același timp, poate ruta trafic pe lângă el. Acestea nu sunt aceeași cale de pachete.
| Conexiune | Rol local relevant |
|---|---|
| Clientul ajunge la proxy pe gateway | Trafic adresat gazdei locale |
| Clientul ajunge la altă gazdă prin gateway | Trafic redirecționat |
| Proxy-ul deschide o conexiune către un site | Trafic generat de un proces local |
Netfilter distinge căile de intrare, de redirecționare și de ieșire. O regulă care guvernează accesul la propriul listener proxy al gateway-ului nu restricționează automat fiecare conexiune rutată prin acea mașină.
Definiți ce trebuie impus
Dacă clienții trebuie să folosească proxy-ul aprobat, politica trebuie să trateze și rutele lor alternative de ieșire, pe lângă permiterea listenerului dorit. A permite conexiuni către orice serviciu îndepărtat doar pentru că folosește portul proxy obișnuit nu este același lucru cu a permite doar punctul final de proxy propriu.
Păstrați separat accesul propriu al proxy-ului către exterior. Pentru Squid, distingeți proprietatea socketului local de identitatea utilizatorului LAN înainte de a aplica o permisiune de ieșire. Refuzarea tuturor conexiunilor de ieșire utile ale proxy-ului ar face calea necesară indisponibilă. Traficul de administrare, rezolvarea numelor și operațiunile non-web acceptate necesită, de asemenea, un tratament deliberat în politica de implementare.
Domeniul protocolului contează. O regulă TCP nu descrie prin ea însăși traficul UDP, inclusiv QUIC. Interceptarea traficului este alt proiect; un proxy HTTPS explicit poate oferi CONNECT fără a decripta sesiunea site-ului.
Cartografiați conexiunile dorite înainte de a edita un set de reguli. O preferință de browser selectează o rută pentru clienții participanți. Impunerea la nivel de rețea decide care alte rute pot reuși. Niciuna dintre ele nu ar trebui dedusă doar dintr-o autentificare reușită la proxy.