Proxy-verifikasie in 'n hoofdlose blaaier is nie 'n VPN-roete nie

'n VPN kan 'n blaaier se verkeer na 'n proxibediener dra en steeds laat dat die blaaier nie die proxy kan gebruik nie, want 'n roete en 'n geloofsbrief is twee verskillende dinge. Hoofdlose outomatisering maak die gaping moeiliker om te sien, want daar is geen venster en geen prompt om raak te sien nie. Die fout verskyn gewoonlik as 'n hang of 'n algemene navigasiefout, en die eerste instink is om die tonnel te blameer. Die kontrolelys hieronder skei die vier dinge wat waar moet wees voordat 'n hoofdlose versoek deur 'n geauthentiseerde proxy kan slaag.

Twee gesprekke, twee geloofsbriewe

Twee gesprekke vind plaas, en hulle behoort aan verskillende partye. Die blaaier verbind eers aan die proxyluisteraar, wat dit om geloofsbriewe kan uitdaag; die proxy maak dan die verdere verbinding na die bestemming of laat dit toe. 'n VPN kan die eerste been dra sonder om die eindpunt te wees wat die blaaier uitdaag, en dit het niks oor die tweede te sê nie.

HTTP 407 is die sein dat die kliënt vir die proxyversoek moet verifieer, vervat in Proxy-Authenticate met die antwoord wat in Proxy-Authorization verwag word. Dit is nie die bestemmingswebwerf se aanmelding nie, en om die twee te vermeng is die algemeenste bron van verwarring hier.

Die vier kontroles is dus: watter proxy die blaaier werklik gekies het, wie die 407 beantwoord, op watter netwerk die blaaierproses is, en hoe die geloofsbrief sonder 'n mens afgelewer word. Elkeen kan onafhanklik misluk, en elke mislukking lyk van buite dieselfde. Werk hulle in volgorde, want 'n latere kontrole kan nie 'n vroeëre een vergoed nie. 'n Proxy wat nooit gekies is nie, kan nie geauthentiseer word nie, en 'n geloofsbrief wat net op jou skootrekenaar bestaan, kan nie 'n houer bereik nie.

Kontrole 1: watter proxy is werklik gekies

Begin met die keuse, want 'n blaaier wat jou proxy-instelling ignoreer, bereik nooit die uitdaging nie. In Chrome is die vlag --proxy-server=proxy.example:3128, met --proxy-bypass-list vir uitsonderings, en Selenium bied dieselfde deur sy blaaieropsies. 'n PAC-lêer is 'n ander meganisme met sy eie foutmodusse.

Bevestig dan vanuit die omgewing van die lopende blaaier, nie vanuit jou shell nie. 'n Onafhanklike toets met dieselfde proxy is curl -x http://proxy.example:3128 -v https://example.com, en die uitvoerige uitset wys of die CONNECT geslaag het, wat Proxy-Authenticate teruggegee het, en of 'n 407 teruggekeer is. As curl 'n 407 kry en die blaaier hang, is die geloofsbriefpad die probleem, nie die netwerk nie. As curl slaag en die blaaier nie, gebruik die blaaier nie die proxy wat jy dink nie.

Kontrole 2: wie beantwoord die 407

'n 407 het 'n eienaar, en om dit te benoem bepaal waar die oplossing hoort. As die uitdaging van die korporatiewe proxy kom, is die oplossing 'n geloofsbrief wat die blaaier sonder toesig kan aanbied. As dit van 'n opstroom-proxy kom waarna die eerste een deurstuur, behoort die geloofsbrief aan daardie tweede been en stuur die eerste proxy die uitdaging moontlik onveranderd deur. Lees die verifikasiereik en gasheer in die Proxy-Authenticate-kop, want hulle benoem die boks wat vra.

Bewaar daardie onderskeid in wat jy ook al log. 'n Proxy-uitdaging, 'n geweierde verdere verbinding, 'n webwerf-aanmelding en 'n VPN-vervoertee-timeout is vier verskillende foute met vier verskillende eienaars, en een generiese foutboodskap vernietig die inligting wat jy nodig het.

Kontrole 3: die geloofsbriefpad

Dit is by die geloofsbrief self dat die meeste onbewaakte opstellings breek. Selenium kan 'n proxy-gasheer en -poort stel, maar HTTP-proxy-verifikasie is nie 'n draagbare deel van daardie konfigurasie nie, en geloofsbriewe in die proxy-URL is nie 'n meganisme waarop jy oor blaaiers en drywerweergawes heen kan staatmaak nie. Die ondersteunde opsies is dié wat jou werklike stapel dokumenteer: 'n blaaieruitbreiding wat die uitdaging beantwoord, 'n plaaslike deurstuurproxy wat die kop byvoeg en net vanaf die taak bereikbaar is, of 'n proxy wat die werklading op ander maniere verifieer. Kies een doelbewus en toets dit teen die presiese blaaier-, drywer- en Selenium-weergawes wat jy sal gebruik.

Hou die geloofsbrief uit die plekke wat dit lek. Opdraglyne is sigbaar in proseslyste, skermkiekies beland in toetsverslae, blaaier-spore en HAR-lêers vang koptekste vas, en toegewyde toetskonfigurasie is vir altyd daar. Gebruik die taak se geheime-afleweringsmeganisme en sy redigeringreëls, en beperk die proxy-rekening tot die bestemmings of rol wat dit nodig het.

As die organisasie 'n toegelate direkte VPN-roete eerder as 'n verpligte proxy bied, vergelyk die twee ontwerpe eksplisiet. Moet nie die proxy stilweg deaktiveer of 'n ander kliënt se verifikasie naboots om die beleid te omseil nie.

Kontrole 4: die blaaierproses se eie netwerkkonteks

Dit is die kontrole wat mense oorslaan. 'n Blaaier wat deur 'n werker, 'n houer of 'n afgeleë Selenium Grid-node begin word, gebruik daardie omgewing se netwerk, so jou skootrekenaar se VPN-verbinding en jou shell se proxy-veranderlikes beskryf 'n pad wat die blaaier dalk nooit raak nie.

Teken vyf feite vir die mislukte taak aan: die blaaier-gasheer, die gekonfigureerde proxy, die aanvanklike resolver-pad, die gekose roete en die eienaar van die verifikasie. Maak dan een skadelose gemagtigde versoek vanuit daardie presiese konteks, met normale TLS-verifikasie vir die bestemming en toepassingsverifikasie aan. 'n Hoofdlose blaaier wat suksesvol begin, bewys nóg proxy-toelating nóg VPN-dekking, en 'n skermkiekie van 'n leë bladsy bewys glad niks nie. Die versoek wat 200 deur die hele ketting teruggee, is die enigste bewys wat tel.

Die voltooide werkvloei het drie eienskappe wat saam die moeite werd is om te kontroleer. Daar is 'n ondersteunde roete van die blaaier-gasheer na die proxy, 'n eksplisiete tussengangerbeleid wat die proxy en die bestemmings noem, en 'n geloofsbrief-lewensiklus wat nie daarvan afhang dat 'n operateur 'n onsigbare prompt beantwoord nie. As enige van die drie van 'n persoon afhang, is die taak nog nie onbewaak nie, wat die afsluitkode ook al sê. Skryf die vyf feite neer voordat die volgende persoon die pyplyn oorneem.