Сайти в тій самій підмережі можуть обходити прозорий проксі шлюзу

Перегляд інтернету з’являється в журналі проксі шлюзу. Сайт у локальній мережі офісу — ні. Перш ніж змінювати фільтр URL, з’ясуйте, чи запит із локальної мережі взагалі дійшов до шлюзу.

Для безпосередньо підключеного адресата IPv4 клієнт може розв’язати адресу канального рівня адресата й надіслати йому в локальному сегменті. Його шлюз за замовчуванням не обов’язково розташований на цьому шляху. Правило прозорого перехоплення на шлюзі не може перенаправити пакети, які шлюз ніколи не отримує.

Наприклад, два вузли в одній підмережі з прямим підключенням можуть обмінюватися трафіком через комутатор, поки проксі-машина підключена до іншого порту комутатора. Саме перебування в цій локальній мережі не робить проксі точкою пересилання.

Виберіть потрібний шлях

Явне налаштування проксі може надіслати запит залученої програми до проксі, навіть якщо цільовий сайт локальний. Перевірте також правила обходу й рішення PAC: вони можуть навмисно вибирати DIRECT для приватних імен або адрес.

Якщо перехоплення потрібне, мережа має справді розмістити точку перехоплення на шляху; на шлюзі Linux розрізняйте локальні та пересилані шляхи пакетів. Маршрутизоване розділення підмереж або навмисно вбудований у лінію міст можуть це зробити в належних проєктах, але кожен змінює поведінку пересилання й відмов. Міст в іншому місці локальної мережі не стає автоматично вбудованим у лінію.

Тримайте вимогу до протоколу програми окремо. Навіть після того, як трафік проходить через пристрій, слухач має підтримувати режим перехоплення. Переміщення пакетів — це не дозвіл розшифровувати HTTPS і не гарантія, що звичайний порт SOCKS зможе їх прийняти.

Запишіть вибраний клієнтом маршрут, локальний сегмент і фактичний пристрій пересилання. Відсутність журналу проксі може бути правильним описом топології, а не збоєм журналювання.