Koja putanja paketa u Linuxu treba da sprovodi upotrebu proxyja?
Postavite kontrole sprovođenja mrežnog proxyja na putanju paketa kojom treba da upravljaju, umesto da filtrirate samo veze prema gatewayju.
Linux gateway može da pokreće proxy proces i istovremeno usmerava saobraćaj pored njega. To nije ista putanja paketa.
| Veza | Relevantna lokalna uloga |
|---|---|
| Klijent dospeva do proxyja na gatewayju | Saobraćaj adresiran na lokalnog hosta |
| Klijent dospeva do drugog hosta kroz gateway | Prosleđeni saobraćaj |
| Proxy otvara vezu prema veb sajtu | Saobraćaj koji generiše lokalni proces |
Netfilter razlikuje ulazne, prosleđene i izlazne putanje. Pravilo koje upravlja pristupom sopstvenom proxy slušaču gatewayja ne ograničava automatski svaku usmerenu vezu kroz tu mašinu.
Definišite šta se mora sprovesti
Ako klijenti moraju da koriste odobreni proxy, politika mora da obradi i njihove alternativne izlazne rute uz dozvolu za predviđeni slušač. Dozvoljavanje veza ka bilo kojoj udaljenoj usluzi samo zato što koristi poznati proxy port nije isto kao dozvoljavanje samo sopstvene proxy krajnje tačke.
Držite sopstveni dalji pristup proxyja odvojeno. Za Squid razlikujte vlasništvo lokalnog socketa od identiteta LAN korisnika pre primene izlazne dozvole. Odbijanje svih korisnih izlaznih veza proxyja učinilo bi potrebnu putanju nedostupnom. Upravljački saobraćaj, razrešavanje imena i podržane ne-veb operacije takođe zahtevaju namernu obradu u politici postavljanja.
Obim protokola je važan. TCP pravilo samo po sebi ne opisuje UDP saobraćaj, uključujući QUIC. Presretanje saobraćaja je drugi dizajn; eksplicitni HTTPS proxy može da pruži CONNECT bez dešifrovanja sesije sajta.
Mapirajte predviđene veze pre uređivanja skupa pravila. Podešavanje pregledača bira rutu za klijente koji učestvuju. Mrežno sprovođenje odlučuje koje druge rute mogu da uspeju. Ni jedno se ne sme zaključiti samo iz uspešne prijave na proxy.