Браўзер філіяла праз проксі: два злучэнні, два маршруты

Браўзер філіяла за явным проксі адкрывае два злучэнні, і яны адмаўляюць па розных прычынах. Першае — ад браўзера да праслухоўвальніка проксі, якое ідзе праз VPN філіяла. Другое — ад проксі да сайта, з уласным рэзалверам, маршрутам і палітыкай выхаду проксі. Тыкеты падтрымкі, якія разглядаюць іх як адзін паток, гадзінамі накіроўваюць людзей да не таго прылады. Наладзьце кожнае свядома і праверце іх у гэтым парадку.

Крок 1: запішыце абодва патокі

Непасрэдны пункт прызначэння браўзера — праслухоўвальнік проксі, а не кожны сайт, які карыстальнік у рэшце наведае. Гэтае адно сказ вырашае большасць блытаніны ў гэтым дызайне.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Розныя крыніцы, розныя маршруты, розныя дазволы. Трымайце схему ў запісе змяненняў, бо кожная наступная праверка спасылаецца на адну з яе дзвюх палоў.

Крок 2: дайце браўзеру шлях да праслухоўвальніка

Запішыце імя хоста проксі, порт праслухоўвальніка, патрабаванні аўтэнтыфікацыі і дазволеныя крыніцы філіяла. Гэты спіс — крытэрыі прыёмкі для першага патоку, і ён павінен уключаць унутранае развязанне імён разам з маршрутам тунеля.

Ужывіце вузкае сеткавае правіла для патрэбнай службы замест публікацыі неабмежаванага проксі ў інтэрнэт. Проксі можа заставацца ва ўнутранай сетцы, калі яго патрэбныя кліенты маюць падтрымліваемы шлях да яго.

Крок 3: наладзьце браўзер, а не толькі табліцу маршрутаў

Выкарыстайце наладу проксі ў браўзеры, файл PAC або кіраваны механізм выяўлення арганізацыі. Адпраўка звычайных пакетаў сайта на адрас проксі праз маршрут не прымушае браўзер гаварыць пратаколам проксі; гэта празрыстае перахопліванне, і яно належыць да іншага дызайну шлюза.

Запішыце, якія праграмы слухаюць наладу. Паштовыя кліенты, абнаўляльнікі і гульні часта не слухаюць, і яны працягнуць выкарыстоўваць звычайны шлях.

Крок 4: дакажыце зыходнае злучэнне проксі

Проксі патрэбны ўласны рэзалвер і дазволены маршрут да сайта, а таксама ўсялякая палітыка міжсеткавага экрана або трансляцыі, якой патрабуе яго інтэрнэт-мяжа. Браўзер, які даходзіць да праслухоўвальніка, не даказвае нічога з гэтага. Праверце другі паток з самога проксі, з тым самым пунктам прызначэння і портам, якія паведаміў карыстальнік.

Для HTTPS CONNECT адкрывае тунель да запытанага пункта прызначэння. Звычайная перадача не перадае проксі расшыфраваную старонку, і адключэнне праверкі сертыфіката дзеля імправізаванага агляду не з’яўляецца рашэннем.

Крок 5: адрозніце чатыры адмовы

Запыт аўтэнтыфікацыі проксі — гэта 407 ад праслухоўвальніка. Адмоўлены CONNECT — рашэнне палітыкі на проксі, звычайна са сваім статусам і радком журнала. Няўдалае зыходнае злучэнне выглядае як тайм-аўт або скід, які проксі запісвае адносна пункта прызначэння. Адказ сайта азначае, што абодва злучэнні працавалі і праблема ў крыніцы.

Паведамляйце пра мяжу, якую вы назіралі, а не пра выснову, што VPN не спрацаваў.

Крок 6: вызначце межы і сплануйце запасны варыянт

Вырашыце, што адбываецца, калі проксі або тунель недаступныя, і ясна скажыце, які трафік ахоплівае гэты дызайн. Ён пераносіць вэб-доступ ад кліентаў, якія слухаюць наладу проксі; ён не пераносіць пошту, адвольныя пратаколы прылад або праграмы, якія ігнаруюць канфігурацыю.

Праверце патрэбную аперацыю браўзера і адну патрэбную адмову паводле зацверджанага плана, перш чым пашыраць дызайн на больш кліентаў.