Porwr cangen i’r dirprwy: dwy gysylltiad, dwy lwybr

Mae porwr cangen y tu ôl i ddirprwy penodol yn agor dwy gysylltiad, ac maent yn methu am resymau gwahanol. Y gyntaf yw porwr i wrandäwr y dirprwy, a gludir drwy VPN y gangen. Yr ail yw dirprwy i wefan, gan ddefnyddio resolver, llwybr a pholisi allbwn y dirprwy ei hun. Mae tocynnau cymorth sy’n eu trin fel un llif yn anfon pobl at y ddyfais anghywir am oriau. Gosodwch bob un yn fwriadol a’u profi yn y drefn honno.

Cam 1: ysgrifennwch y ddau lif

Cyrchfan uniongyrchol y porwr yw gwrandäwr y dirprwy, nid pob safle y mae’r defnyddiwr yn ei ymweld yn y pen draw. Mae’r un frawddeg hon yn datrys y rhan fwyaf o’r dryswch yn y dyluniad hwn.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Gwahanol ffynonellau, gwahanol lwybrau, gwahanol ganiatâd. Cadwch y braslun yn y cofnod newid, oherwydd mae pob gwiriad diweddarach yn cyfeirio at un o’i ddwy hanner.

Cam 2: rhowch lwybr i’r porwr at y gwrandäwr

Cofnodwch enw gwesteiwr y dirprwy, porth y gwrandäwr, y gofynion dilysu a’r ffynonellau cangen a ganiateir. Y rhestr honno yw’r meini prawf derbyn ar gyfer y llif cyntaf, ac fe ddylai gynnwys datrysiad enwau preifat yn ogystal â llwybr y twndwl.

Cymhwyswch reol rwydwaith gul ar gyfer y gwasanaeth a fwriedir yn lle cyhoeddi dirprwy heb gyfyngiad i’r rhyngrwyd. Gall y dirprwy aros ar rwydwaith mewnol pan fo gan ei gleientiaid bwriadedig lwybr â chymorth ato.

Cam 3: ffurfweddwch y porwr, nid y tabl llwybrau yn unig

Defnyddiwch osodiad dirprwy’r porwr, ffeil PAC, neu fecanwaith darganfod rheoledig y sefydliad. Nid yw anfon pecynnau gwefan arferol tuag at gyfeiriad y dirprwy gyda llwybr yn gwneud i’r porwr siarad protocol y dirprwy; rhyng-gipio tryloyw yw hynny ac mae’n perthyn i ddyluniad porth gwahanol.

Ysgrifennwch pa raglenni sy’n anrhydeddu’r gosodiad. Yn aml nid yw cleientiaid post, diweddarwyr a gemau yn gwneud hynny, a byddant yn parhau i ddefnyddio’r llwybr plaen.

Cam 4: profwch gysylltiad ymlaen y dirprwy

Mae angen resolver ei hun a llwybr a ganiateir i’r wefan ar y dirprwy, ynghyd ag unrhyw bolisi mur rhag tân neu gyfieithu y mae ei ffin rhyngrwyd yn ei gwneud yn ofynnol. Nid yw porwr sy’n cyrraedd y gwrandäwr yn profi dim o hynny. Profwch yr ail lif o’r dirprwy ei hun, gan ddefnyddio’r un gyrchfan a phorth ag a adroddwyd gan y defnyddiwr.

Ar gyfer HTTPS, mae CONNECT yn agor twndwl i’r gyrchfan y gofynnwyd amdani. Nid yw anfon ymlaen arferol yn rhoi’r dudalen wedi’i ddadgryptio i’r dirprwy, ac nid yw analluogi dilysu tystysgrifau i fyrfyfyrio archwiliad yn ateb.

Cam 5: gwahaniaethwch rhwng pedwar methiant

Her dilysu dirprwy yw 407 o’r gwrandäwr. Mae CONNECT a wrthodwyd yn benderfyniad polisi ar y dirprwy, fel arfer gyda’i statws a’i linell gofnod ei hun. Mae cysylltiad ymlaen wedi methu yn edrych fel goramser neu ailosodiad y mae’r dirprwy yn ei gofnodi yn erbyn y gyrchfan. Mae ymateb gwefan yn golygu bod y ddwy gysylltiad wedi gweithio a bod y broblem yn y tarddiad.

Adroddwch y ffin a welsoch, nid y crynodeb bod y VPN wedi methu.

Cam 6: diffiniwch y cwmpas a chynlluniwch y gefnffordd

Penderfynwch beth sy’n digwydd pan nad yw’r dirprwy neu’r twndwl ar gael, a dywedwch yn blwmp pa draffig y mae’r dyluniad hwn yn ei gwmpasu. Mae’n cario mynediad gwe o gleientiaid sy’n anrhydeddu gosodiad y dirprwy; nid yw’n cario post, protocolau dyfais mympwyol na meddalwedd sy’n anwybyddu’r ffurfweddiad.

Dilyswch y llawdriniaeth borwr ofynnol ac un gwrthodiad gofynnol o dan gynllun cymeradwy cyn estyn y dyluniad i fwy o gleientiaid.