متصفح الفرع إلى الوكيل: اتصالان ومساران

يفتح متصفح فرع خلف وكيل صريح اتصالين، ويفشل كل منهما لسبب مختلف. الأول من المتصفح إلى مستمع الوكيل، عبر نفق VPN الخاص بالفرع. والثاني من الوكيل إلى الموقع، باستخدام محلل الأسماء والمسار وسياسة الخروج الخاصة بالوكيل. تذاكر الدعم التي تتعامل معهما كتدفق واحد ترسل الناس إلى الجهاز الخطأ لساعات. اضبط كل اتصال عن قصد واختبره بهذا الترتيب.

الخطوة 1: اكتب التدفقين

الوجهة المباشرة للمتصفح هي مستمع الوكيل، وليست كل موقع يزوره المستخدم في النهاية. تلك الجملة الواحدة تحل معظم الالتباس في هذا التصميم.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

مصادر مختلفة، ومسارات مختلفة، وأذونات مختلفة. احتفظ بالرسم في سجل التغيير، لأن كل فحص لاحق يشير إلى أحد نصفيه.

الخطوة 2: أعط المتصفح مسارًا إلى المستمع

سجّل اسم مضيف الوكيل ومنفذ المستمع ومتطلبات المصادقة ومصادر الفرع المسموح بها. تلك القائمة هي معايير القبول للتدفق الأول، وينبغي أن تشمل تحليل الأسماء الخاص بالشبكة الداخلية وكذلك مسار النفق.

طبّق قاعدة شبكة ضيقة للخدمة المقصودة بدلًا من نشر وكيل غير مقيّد على الإنترنت. يمكن أن يبقى الوكيل على شبكة داخلية عندما يكون لعملائه المقصودين مسار مدعوم إليه.

الخطوة 3: اضبط المتصفح، لا جدول المسارات فقط

استخدم إعداد الوكيل في المتصفح، أو ملف PAC، أو آلية الاكتشاف المُدارة في المؤسسة. إرسال حزم مواقع عادية نحو عنوان الوكيل بمسار لا يجعل المتصفح يتحدث بروتوكول الوكيل؛ ذلك اعتراض شفاف وينتمي إلى تصميم بوابة آخر.

دوّن التطبيقات التي تحترم الإعداد. غالبًا لا تفعل عملاء البريد والمحدّثات والألعاب ذلك، وستستمر في استخدام المسار العادي.

الخطوة 4: أثبت اتصال الوكيل الصادر

يحتاج الوكيل إلى محلل أسماء خاص به ومسار مسموح إلى الموقع، إضافة إلى أي سياسة جدار ناري أو ترجمة تتطلبها حدوده على الإنترنت. المتصفح الذي يصل إلى المستمع لا يثبت شيئًا من ذلك. اختبر التدفق الثاني من الوكيل نفسه، باستخدام الوجهة والمنفذ نفسيهما اللذين أبلغ عنهما المستخدم.

بالنسبة إلى HTTPS، يفتح CONNECT نفقًا إلى الوجهة المطلوبة. إعادة التوجيه العادية لا تسلّم الصفحة المفكوكة تشفيرها إلى الوكيل، وتعطيل التحقق من الشهادة لارتجال الفحص ليس حلًا.

الخطوة 5: ميّز بين أربعة أعطال

تحدي مصادقة الوكيل هو 407 من المستمع. رفض CONNECT قرار سياسة على الوكيل، وعادةً يكون له حالته وسطر سجله. الاتصال الصادر الفاشل يبدو كمهلة أو إعادة تعيين يسجلها الوكيل مقابل الوجهة. استجابة الموقع تعني أن الاتصالين نجحا وأن المشكلة في المصدر.

أبلغ عن الحد الذي لاحظته، لا عن الخلاصة القائلة بأن VPN فشل.

الخطوة 6: حدّد النطاق وخطط للبديل

قرر ما يحدث عندما يكون الوكيل أو النفق غير متاح، وقل بوضوح أي حركة يغطيها هذا التصميم. ينقل الوصول إلى الويب من العملاء الذين يحترمون إعداد الوكيل؛ ولا ينقل البريد أو بروتوكولات الأجهزة الاعتباطية أو البرامج التي تتجاهل التكوين.

تحقق من عملية المتصفح المطلوبة ورفض واحد مطلوب ضمن خطة معتمدة قبل توسيع التصميم إلى مزيد من العملاء.