Ktorá paketová cesta v Linuxe má vynucovať používanie proxy?
Umiestnite ovládacie prvky vynútenia sieťovej proxy na paketovú cestu, ktorú majú spravovať, namiesto filtrovania iba pripojení k bráne.
Linuxová brána môže spúšťať proxy proces a zároveň smerovať prevádzku okolo neho. To nie je tá istá paketová cesta.
| Spojenie | Príslušná miestna rola |
|---|---|
| Klient dosiahne proxy na bráne | Prevádzka adresovaná miestnemu hostiteľovi |
| Klient dosiahne iného hostiteľa cez bránu | Preposielaná prevádzka |
| Proxy otvorí spojenie na web | Prevádzka vytvorená miestnym procesom |
Netfilter rozlišuje cesty vstupu, preposielania a výstupu. Pravidlo riadiace prístup k vlastnému naslúchajúcemu proxy na bráne automaticky neobmedzuje každé smerované spojenie cez tento stroj.
Určite, čo sa má vynucovať
Ak klienti musia používať schválenú proxy, politika musí riešiť aj ich alternatívne odchádzajúce trasy popri povolení zamýšľaného naslúchajúceho. Povoliť spojenia s akoukoľvek vzdialenou službou len preto, že používa známy port proxy, nie je to isté ako povoliť iba váš koncový bod proxy.
Vlastný ďalší prístup proxy udržujte oddelene. Pri Squide rozlišujte vlastníctvo miestneho socketu od identity používateľa LAN pred uplatnením povolenia odchádzajúcej prevádzky. Odmietnutie všetkých užitočných odchádzajúcich spojení z proxy by potrebnú cestu zneprístupnilo. Riadiaca prevádzka, preklad mien a podporované newebové operácie tiež vyžadujú zámerné ošetrenie v politike nasadenia.
Rozsah protokolu je dôležitý. Pravidlo TCP samo o sebe neopisuje prevádzku UDP, vrátane QUIC. Zachytávanie prevádzky je iný návrh; explicitná HTTPS proxy môže poskytnúť CONNECT bez dešifrovania relácie webu.
Zmapujte zamýšľané spojenia pred úpravou sady pravidiel. Predvoľba prehliadača vyberá trasu pre zúčastnených klientov. Sieťové vynútenie rozhoduje, ktoré iné trasy môžu uspieť. Ani jedno by sa nemalo odvodzovať iba z funkčného prihlásenia k proxy.