Πρόγραμμα περιήγησης υποκαταστήματος προς διαμεσολαβητή: δύο συνδέσεις, δύο διαδρομές

Ένα πρόγραμμα περιήγησης υποκαταστήματος πίσω από ρητό διαμεσολαβητή ανοίγει δύο συνδέσεις και αποτυγχάνουν για διαφορετικούς λόγους. Η πρώτη είναι από το πρόγραμμα περιήγησης προς τον ακροατή του διαμεσολαβητή, μεταφερόμενη μέσω του VPN του υποκαταστήματος. Η δεύτερη είναι από τον διαμεσολαβητή προς τον ιστότοπο, χρησιμοποιώντας τον δικό του resolver, διαδρομή και πολιτική εξόδου. Τα δελτία υποστήριξης που τις αντιμετωπίζουν ως μία ροή στέλνουν ανθρώπους στη λάθος συσκευή για ώρες. Ρυθμίστε την καθεμία σκόπιμα και δοκιμάστε τις με αυτή τη σειρά.

Βήμα 1: γράψτε τις δύο ροές

Ο άμεσος προορισμός του προγράμματος περιήγησης είναι ο ακροατής του διαμεσολαβητή, όχι κάθε ιστότοπος που επισκέπτεται τελικά ο χρήστης. Αυτή η μία πρόταση λύνει το μεγαλύτερο μέρος της σύγχυσης σε αυτόν τον σχεδιασμό.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Διαφορετικές πηγές, διαφορετικές διαδρομές, διαφορετικά δικαιώματα. Κρατήστε το σκίτσο στο αρχείο αλλαγών, γιατί κάθε μεταγενέστερος έλεγχος αναφέρεται σε ένα από τα δύο μισά του.

Βήμα 2: δώστε στο πρόγραμμα περιήγησης διαδρομή προς τον ακροατή

Καταγράψτε το όνομα κεντρικού υπολογιστή του διαμεσολαβητή, τη θύρα του ακροατή, τις απαιτήσεις ελέγχου ταυτότητας και τις επιτρεπόμενες πηγές υποκαταστήματος. Αυτή η λίστα είναι τα κριτήρια αποδοχής για την πρώτη ροή και πρέπει να περιλαμβάνει την εσωτερική επίλυση ονομάτων καθώς και τη διαδρομή της σήραγγας.

Εφαρμόστε έναν στενό κανόνα δικτύου για την προοριζόμενη υπηρεσία αντί να δημοσιεύσετε έναν διαμεσολαβητή χωρίς περιορισμούς στο διαδίκτυο. Ο διαμεσολαβητής μπορεί να παραμείνει σε εσωτερικό δίκτυο όταν οι προοριζόμενοι πελάτες του έχουν υποστηριζόμενη διαδρομή προς αυτόν.

Βήμα 3: ρυθμίστε το πρόγραμμα περιήγησης, όχι μόνο τον πίνακα διαδρομών

Χρησιμοποιήστε τη ρύθμιση διαμεσολαβητή του προγράμματος περιήγησης, ένα αρχείο PAC ή τον διαχειριζόμενο μηχανισμό ανακάλυψης του οργανισμού. Η αποστολή συνηθισμένων πακέτων ιστότοπου προς τη διεύθυνση του διαμεσολαβητή με διαδρομή δεν κάνει το πρόγραμμα περιήγησης να μιλά το πρωτόκολλο διαμεσολαβητή· αυτό είναι διαφανής υποκλοπή και ανήκει σε άλλο σχεδιασμό πύλης.

Γράψτε ποιες εφαρμογές σέβονται τη ρύθμιση. Τα προγράμματα ηλεκτρονικού ταχυδρομείου, οι ενημερωτές και τα παιχνίδια συχνά δεν τη σέβονται και θα συνεχίσουν να χρησιμοποιούν την απλή διαδρομή.

Βήμα 4: αποδείξτε την προς τα έξω σύνδεση του διαμεσολαβητή

Ο διαμεσολαβητής χρειάζεται τον δικό του resolver και μια επιτρεπόμενη διαδρομή προς τον ιστότοπο, καθώς και όποια πολιτική τείχους προστασίας ή μετάφρασης απαιτεί το όριο του στο διαδίκτυο. Ένα πρόγραμμα περιήγησης που φτάνει στον ακροατή δεν αποδεικνύει τίποτα από αυτά. Δοκιμάστε τη δεύτερη ροή από τον ίδιο τον διαμεσολαβητή, με τον ίδιο προορισμό και θύρα που ανέφερε ο χρήστης.

Για HTTPS, το CONNECT ανοίγει σήραγγα προς τον ζητούμενο προορισμό. Η συνηθισμένη προώθηση δεν δίνει στον διαμεσολαβητή την αποκρυπτογραφημένη σελίδα, και η απενεργοποίηση της επικύρωσης πιστοποιητικών για αυτοσχέδια επιθεώρηση δεν είναι λύση.

Βήμα 5: ξεχωρίστε τέσσερις αστοχίες

Μια πρόκληση ελέγχου ταυτότητας διαμεσολαβητή είναι 407 από τον ακροατή. Ένα απορριφθέν CONNECT είναι απόφαση πολιτικής στον διαμεσολαβητή, συνήθως με δική του κατάσταση και γραμμή καταγραφής. Μια αποτυχημένη προς τα έξω σύνδεση μοιάζει με χρονικό όριο ή επαναφορά που ο διαμεσολαβητής καταγράφει ως προς τον προορισμό. Μια απάντηση ιστότοπου σημαίνει ότι και οι δύο συνδέσεις λειτούργησαν και το πρόβλημα είναι στην πηγή.

Αναφέρετε το όριο που παρατηρήσατε, όχι τη σύνοψη ότι απέτυχε το VPN.

Βήμα 6: ορίστε το εύρος και σχεδιάστε την εφεδρική λύση

Αποφασίστε τι συμβαίνει όταν ο διαμεσολαβητής ή η σήραγγα δεν είναι διαθέσιμα, και πείτε καθαρά ποια κίνηση καλύπτει αυτός ο σχεδιασμός. Μεταφέρει πρόσβαση ιστού από πελάτες που σέβονται τη ρύθμιση διαμεσολαβητή· δεν μεταφέρει αλληλογραφία, αυθαίρετα πρωτόκολλα συσκευών ή λογισμικό που αγνοεί τη διαμόρφωση.

Επικυρώστε την απαιτούμενη λειτουργία του προγράμματος περιήγησης και μία απαιτούμενη άρνηση βάσει εγκεκριμένου σχεδίου πριν επεκτείνετε τον σχεδιασμό σε περισσότερους πελάτες.