Која путања пакета у Linux-у треба да спроводи употребу проксија?
Поставите контроле спровођења мрежног проксија на ону путању пакета којом треба да управљају, уместо да филтрирате само везе према gateway-у.
Linux gateway може да покреће прокси процес и истовремено усмерава саобраћај поред њега. То није иста путања пакета.
| Веза | Релевантна локална улога |
|---|---|
| Клијент долази до проксија на gateway-у | Саобраћај адресиран на локални хост |
| Клијент долази до другог хоста кроз gateway | Прослеђени саобраћај |
| Прокси отвара везу према веб сајту | Саобраћај који генерише локални процес |
Netfilter разликује улазне, прослеђене и излазне путање. Правило које управља приступом сопственом прокси слушачу gateway-а не ограничава аутоматски сваку усмерену везу кроз ту машину.
Дефинишите шта се мора спровести
Ако клијенти морају да користе одобрени прокси, политика мора да обради и њихове алтернативне излазне руте уз дозволу за предвиђени слушач. Дозвољавање веза ка било којој удаљеној услузи само зато што користи познати прокси порт није исто као дозвољавање само сопствене прокси крајње тачке.
Држите сопствени даљи приступ проксија одвојено. За Squid разликујте власништво локалног сокета од идентитета LAN корисника пре примене излазне дозволе. Одбијање свих корисних излазних веза проксија учинило би потребну путању недоступном. Управљачки саобраћај, разрешавање имена и подржане не-веб операције такође захтевају намерну обраду у политици постављања.
Обим протокола је важан. TCP правило само по себи не описује UDP саобраћај, укључујући QUIC. Пресретање саобраћаја је други дизајн; експлицитни HTTPS прокси може да пружи CONNECT без дешифровања сесије сајта.
Мапирајте предвиђене везе пре уређивања скупа правила. Подешавање прегледача бира руту за клијенте који учествују. Мрежно спровођење одлучује које друге руте могу да успеју. Ни једно се не сме закључити само из успешне пријаве на прокси.