Đường đi gói tin nào trên Linux nên thực thi việc dùng proxy?
Đặt các kiểm soát thực thi proxy mạng trên đúng đường đi gói tin mà chúng phải quản lý, thay vì chỉ lọc các kết nối tới gateway.
Một gateway Linux có thể chạy tiến trình proxy và đồng thời định tuyến lưu lượng đi vòng qua nó. Đây không phải cùng một đường đi gói tin.
| Kết nối | Vai trò cục bộ liên quan |
|---|---|
| Máy khách đến proxy trên gateway | Lưu lượng hướng tới máy chủ cục bộ |
| Máy khách đến máy chủ khác qua gateway | Lưu lượng được chuyển tiếp |
| Proxy mở kết nối tới trang web | Lưu lượng do tiến trình cục bộ tạo ra |
Netfilter phân biệt đường vào, đường chuyển tiếp và đường ra. Một quy tắc quản lý truy cập tới trình lắng nghe proxy của chính gateway không tự động giới hạn mọi kết nối được định tuyến qua máy đó.
Xác định điều gì phải được thực thi
Nếu máy khách buộc phải dùng proxy đã được phê duyệt, chính sách cần xử lý cả các tuyến ra thay thế của họ bên cạnh việc cho phép trình lắng nghe dự định. Cho phép kết nối tới bất kỳ dịch vụ từ xa nào chỉ vì nó dùng cổng proxy quen thuộc không giống với việc chỉ cho phép điểm cuối proxy của bạn.
Giữ riêng quyền truy cập đi tiếp của chính proxy. Với Squid, phân biệt quyền sở hữu socket cục bộ với danh tính người dùng LAN trước khi áp dụng quyền ra. Từ chối mọi kết nối ra hữu ích của proxy sẽ khiến đường đi cần thiết không khả dụng. Lưu lượng quản trị, phân giải tên và các thao tác phi web được hỗ trợ cũng cần được xử lý có chủ đích trong chính sách triển khai.
Phạm vi giao thức có ý nghĩa. Một quy tắc TCP không tự mô tả lưu lượng UDP, bao gồm QUIC. Chặn bắt lưu lượng là một thiết kế khác; một proxy HTTPS tường minh có thể cung cấp CONNECT mà không giải mã phiên trang web.
Hãy lập bản đồ các kết nối dự định trước khi sửa bộ quy tắc. Tùy chọn trình duyệt chọn tuyến cho các máy khách tham gia. Việc thực thi ở tầng mạng quyết định tuyến nào khác có thể thành công. Không nên suy ra điều nào trong hai chỉ từ một lần đăng nhập proxy thành công.