Hangi Linux paket yolu proxy kullanımını zorunlu kılmalı?
Ağ proxy'sini zorunlu kılan denetimleri, yönetmeleri gereken paket yoluna yerleştirin; yalnızca ağ geçidine giden bağlantıları filtrelemekle yetinmeyin.
Bir Linux ağ geçidi proxy sürecini çalıştırabilir ve aynı zamanda trafiği onun yanından yönlendirebilir. Bunlar aynı paket yolu değildir.
| Bağlantı | İlgili yerel rol |
|---|---|
| İstemci ağ geçidindeki proxy'ye ulaşır | Yerel ana makineye yönlendirilen trafik |
| İstemci ağ geçidi üzerinden başka bir ana makineye ulaşır | İletilen trafik |
| Proxy bir web sitesi bağlantısı açar | Yerel bir süreç tarafından üretilen trafik |
Netfilter giriş, iletme ve çıkış yollarını birbirinden ayırır. Ağ geçidinin kendi proxy dinleyicisine erişimi yöneten bir kural, o makineden geçen her yönlendirilmiş bağlantıyı otomatik olarak sınırlamaz.
Neyin zorunlu kılınacağını tanımlayın
İstemciler onaylanmış proxy'yi kullanmak zorundaysa, politika amaçlanan dinleyiciye izin vermenin yanı sıra alternatif giden yollarını da ele almalıdır. Tanıdık proxy bağlantı noktasını kullandığı için herhangi bir uzak hizmete bağlantıya izin vermek, yalnızca kendi proxy uç noktanıza izin vermekle aynı değildir.
Proxy'nin kendi dışa açılan erişimini ayrı tutun. Squid için, giden izni uygulamadan önce yerel soket sahipliğini LAN kullanıcı kimliğinden ayırın. Proxy'nin tüm yararlı giden bağlantılarını reddetmek gerekli yolu kullanılamaz hale getirir. Yönetim trafiği, ad çözümlemesi ve desteklenen web dışı işlemler de dağıtım politikasında bilinçli bir ele alınma gerektirir.
Protokol kapsamı önemlidir. Bir TCP kuralı UDP trafiğini, QUIC dahil, kendi başına tanımlamaz. Trafiği durdurmak başka bir tasarımdır; açık bir HTTPS proxy'si web sitesi oturumunu şifre çözmeden CONNECT sağlayabilir.
Bir kural kümesini düzenlemeden önce amaçlanan bağlantıları haritalayın. Tarayıcı tercihi katılan istemciler için bir yol seçer. Ağ düzeyinde zorlama, hangi diğer yolların başarılı olabileceğine karar verir. İkisi de yalnızca çalışan bir proxy oturum açmasından çıkarılmamalıdır.