Prohlížeč pobočky k proxy: dvě spojení, dvě trasy

Prohlížeč pobočky za explicitní proxy otevírá dvě spojení a ta selhávají z různých důvodů. První je prohlížeč k naslouchajícímu proxy, vedené přes VPN pobočky. Druhé je proxy k webu, s vlastním resolverem, trasou a výstupní politikou proxy. Tikety podpory, které je berou jako jeden tok, posílají lidi na špatné zařízení na hodiny. Nastavte každé záměrně a testujte je v tomto pořadí.

Krok 1: zapište oba toky

Bezprostředním cílem prohlížeče je naslouchající proxy, nikoli každý web, který uživatel nakonec navštíví. Tato jediná věta řeší většinu zmatku v tomto návrhu.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Různé zdroje, různé trasy, různá oprávnění. Uchovejte náčrt v záznamu změny, protože každá další kontrola odkazuje na jednu z jeho dvou polovin.

Krok 2: dejte prohlížeči cestu k naslouchajícímu proxy

Zaznamenejte hostname proxy, port naslouchajícího proxy, požadavky na ověřování a povolené zdroje pobočky. Tento seznam je akceptační kritérium prvního toku a měl by zahrnovat interní překlad názvů i trasu tunelu.

Použijte úzké síťové pravidlo pro zamýšlenou službu místo zveřejnění neomezené proxy do internetu. Proxy může zůstat v interní síti, pokud k ní mají zamýšlení klienti podporovanou cestu.

Krok 3: nakonfigurujte prohlížeč, ne jen routovací tabulku

Použijte nastavení proxy v prohlížeči, soubor PAC nebo spravovaný mechanismus zjišťování organizace. Posílání běžných paketů webu na adresu proxy přes trasu nezpůsobí, že prohlížeč mluví protokolem proxy; to je transparentní zachytávání a patří k jinému návrhu brány.

Zapište, které aplikace nastavení respektují. Poštovní klienti, aktualizátory a hry to často nedělají a budou dál používat běžnou cestu.

Krok 4: dokažte odchozí spojení proxy

Proxy potřebuje vlastní resolver a povolenou trasu k webu, plus případnou politiku firewallu nebo překladu, kterou vyžaduje jeho internetová hranice. Prohlížeč, který dorazí k naslouchajícímu proxy, nic z toho nedokazuje. Testujte druhý tok z proxy samotné, se stejnou destinací a portem, které uživatel nahlásil.

U HTTPS CONNECT otevírá tunel k požadované destinaci. Běžné předávání nepředá proxy dešifrovanou stránku a vypnutí ověřování certifikátů kvůli improvizované inspekci není řešení.

Krok 5: rozlište čtyři poruchy

Výzva k ověření proxy je 407 od naslouchajícího proxy. Odmítnutý CONNECT je rozhodnutí politiky na proxy, obvykle s vlastním stavem a řádkem protokolu. Neúspěšné odchozí spojení vypadá jako vypršení nebo reset, které proxy zaznamená vůči destinaci. Odpověď webu znamená, že obě spojení fungovala a problém je u zdroje.

Hlaste hranici, kterou jste pozorovali, ne shrnutí, že VPN selhala.

Krok 6: vymezte rozsah a naplánujte záložní variantu

Rozhodněte, co se stane, když proxy nebo tunel nejsou dostupné, a jasně řekněte, který provoz tento návrh pokrývá. Přináší webový přístup od klientů, kteří respektují nastavení proxy; nepřináší poštu, libovolné protokoly zařízení ani software, který konfiguraci ignoruje.

Ověřte požadovanou operaci prohlížeče a jedno požadované odmítnutí podle schváleného plánu, než návrh rozšíříte na více klientů.