Preglednik podružnice do proxyja: dvije veze, dvije rute

Preglednik podružnice iza eksplicitnog proxyja otvara dvije veze i one padaju iz različitih razloga. Prva je od preglednika do proxy poslušaoca, koja se prenosi kroz VPN podružnice. Druga je od proxyja do web sajta, koristeći vlastiti resolver, rutu i izlaznu politiku proxyja. Tiketi podrške koji ih tretiraju kao jedan tok šalju ljude na pogrešan uređaj satima. Postavite svaku namjerno i testirajte ih tim redoslijedom.

Korak 1: zapišite oba toka

Neposredno odredište preglednika je proxy poslušalac, a ne svaki sajt koji korisnik na kraju posjeti. Ta jedna rečenica rješava većinu zabune u ovom dizajnu.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Različiti izvori, različite rute, različite dozvole. Držite skicu u zapisu promjene, jer se svaka kasnija provjera odnosi na jednu od njenih dviju polovina.

Korak 2: dajte pregledniku put do poslušaoca

Zapišite ime hosta proxyja, port poslušaoca, zahtjeve za provjeru identiteta i dozvoljene izvore podružnice. Taj spisak su kriteriji prihvatanja za prvi tok i treba da uključi interno razrješavanje imena kao i rutu tunela.

Primijenite usko mrežno pravilo za predviđenu uslugu umjesto objavljivanja neograničenog proxyja na internet. Proxy može ostati na internoj mreži kada njegovi predviđeni klijenti imaju podržan put do njega.

Korak 3: konfigurirajte preglednik, ne samo tabelu ruta

Koristite postavku proxyja u pregledniku, PAC datoteku ili upravljani mehanizam otkrivanja organizacije. Slanje običnih paketa sajta prema adresi proxyja s rutom ne čini da preglednik govori proxy protokol; to je transparentno presretanje i pripada drugom dizajnu pristupnika.

Zapišite koje aplikacije poštuju postavku. Poštanski klijenti, programi za ažuriranje i igre to često ne čine i nastavit će koristiti običan put.

Korak 4: dokažite odlaznu vezu proxyja

Proxyju su potrebni vlastiti resolver i dozvoljena ruta do sajta, plus bilo koja politika vatrozida ili prevođenja koju zahtijeva njegova internetska granica. Preglednik koji stigne do poslušaoca ne dokazuje ništa od toga. Testirajte drugi tok s proxyja samog, koristeći isto odredište i port koje je korisnik prijavio.

Za HTTPS CONNECT otvara tunel do traženog odredišta. Obično prosljeđivanje ne daje proxyju dešifriranu stranicu, a isključivanje provjere certifikata da bi se improvizirao pregled nije rješenje.

Korak 5: razlikujte četiri kvara

Proxy izazov za provjeru identiteta je 407 od poslušaoca. Odbijen CONNECT je odluka o politici na proxyju, obično s vlastitim statusom i linijom zapisa. Neuspješna odlazna veza izgleda kao istek vremena ili reset koji proxy bilježi prema odredištu. Odgovor sajta znači da su obje veze radile i da je problem na izvoru.

Prijavite granicu koju ste primijetili, a ne sažetak da je VPN zakazao.

Korak 6: odredite obim i planirajte rezervu

Odlučite šta se dešava kada proxy ili tunel nisu dostupni i jasno recite koji saobraćaj ovaj dizajn pokriva. On prenosi web pristup od klijenata koji poštuju postavku proxyja; ne prenosi poštu, proizvoljne protokole uređaja ni softver koji zanemaruje konfiguraciju.

Provjerite potrebnu radnju preglednika i jedno potrebno odbijanje po odobrenom planu prije nego dizajn proširite na više klijenata.