Aling landas ng packet sa Linux ang dapat magpatupad ng paggamit ng proxy?
Ilagay ang mga kontrol sa pagpapatupad ng network proxy sa landas ng packet na dapat nilang pamahalaan, sa halip na salain lamang ang mga koneksyon patungo sa gateway.
Ang isang gateway ng Linux ay maaaring magpatakbo ng proseso ng proxy at mag-ruta rin ng trapiko sa tabi nito. Hindi ito ang parehong landas ng packet.
| Koneksyon | Kaugnay na lokal na tungkulin |
|---|---|
| Naabot ng kliyente ang proxy sa gateway | Trapikong nakadirekta sa lokal na host |
| Naabot ng kliyente ang ibang host sa pamamagitan ng gateway | Naipasa na trapiko |
| Binubuksan ng proxy ang koneksyon sa website | Trapikong nalilikha ng lokal na proseso |
Tinatangi ng Netfilter ang mga landas ng input, forward at output. Ang panuntunang namamahala sa pag-access sa sariling tagapakinig ng proxy ng gateway ay hindi awtomatikong nililimitahan ang bawat naka-rutang koneksyon sa makinaryang iyon.
Itakda kung ano ang dapat ipatupad
Kung kailangang gamitin ng mga kliyente ang aprubadong proxy, kailangan ding tugunan ng patakaran ang kanilang mga alternatibong palabas na ruta bukod sa pagpapahintulot sa inilaang tagapakinig. Ang pagpayag sa mga koneksyon sa anumang malayong serbisyo dahil lamang gumagamit ito ng pamilyar na port ng proxy ay hindi katulad ng pagpayag lamang sa sarili mong endpoint ng proxy.
Ihiwalay ang sariling pasulong na pag-access ng proxy. Para sa Squid, ihiwalay ang pagmamay-ari ng lokal na socket sa pagkakakilanlan ng gumagamit ng LAN bago maglapat ng pahintulot sa labas. Ang pagtanggi sa lahat ng kapaki-pakinabang na palabas na koneksyon mula sa proxy ay gagawing hindi magagamit ang kinakailangang landas. Ang trapikong pang-administrasyon, resolusyon ng pangalan at mga sinusuportahang di-web na operasyon ay nangangailangan din ng sadyang pagtrato sa patakaran ng deployment.
Mahalaga ang saklaw ng protocol. Ang panuntunan ng TCP ay hindi naglalarawan ng trapikong UDP sa sarili nito, kasama ang QUIC. Ang pagharang ng trapiko ay ibang disenyo; ang tahasang proxy na HTTPS ay makapagbibigay ng CONNECT nang hindi nagde-decrypt ng sesyon ng website.
Imapa ang mga inilaang koneksyon bago i-edit ang isang set ng panuntunan. Pinipili ng kagustuhan sa browser ang isang ruta para sa mga kalahok na kliyente. Nagpapasya ang pagpapatupad sa network kung aling ibang ruta ang maaaring magtagumpay. Wala sa dalawa ang dapat mahinuha mula lamang sa gumaganang pag-login sa proxy.