Filiaali brauser puhverserverini: kaks ühendust, kaks marsruuti

Filiaali brauser selgesõnalise puhverserveri taga avab kaks ühendust ja need nurjuvad erinevatel põhjustel. Esimene on brauserist puhverserveri kuulajani, mida kantakse filiaali VPN-i kaudu. Teine on puhverserverist veebisaidini, kasutades puhverserveri enda resolverit, marsruuti ja väljundpoliitikat. Toetuspiletid, mis käsitlevad neid ühe voona, saadavad inimesed tundideks vale seadme juurde. Seadistage mõlemad teadlikult ja testige neid selles järjekorras.

Samm 1: kirjutage kaks voogu üles

Brauseri vahetu sihtkoht on puhverserveri kuulaja, mitte iga sait, mida kasutaja lõpuks külastab. See üks lause lahendab suurema osa selles kavandis esinevast segadusest.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Erinevad allikad, erinevad marsruudid, erinevad õigused. Hoidke visand muudatuse kirjes, sest iga hilisem kontroll viitab selle ühele kahest poolest.

Samm 2: andke brauserile tee kuulajani

Kirjutage üles puhverserveri hostinimi, kuulaja port, autentimisnõuded ja lubatud filiaali allikad. See loend on esimese voo vastuvõtukriteerium ja peaks hõlmama nii privaatset nimelahendust kui ka tunnelimarsruuti.

Rakendage kavandatud teenuse jaoks kitsast võrgureeglit, selle asemel et avaldada piiramatu puhverserver internetis. Puhverserver võib jääda sisemisesse võrku, kui selle kavandatud klientidel on selle juurde toetatud tee.

Samm 3: seadistage brauser, mitte ainult marsruuditabel

Kasutage brauseri puhverserveri seadet, PAC-faili või organisatsiooni hallatavat avastusmehhanismi. Tavaliste saidi pakettide marsruudiga puhverserveri aadressi poole saatmine ei pane brauserit puhverserveri protokolli rääkima; see on läbipaistev vaheltlõikamine ja kuulub teise lüüsikavandi juurde.

Kirjutage üles, millised rakendused seadet järgivad. Meilikliendid, uuendajad ja mängud sageli ei järgi, ja need jätkavad lihtsa tee kasutamist.

Samm 4: tõestage puhverserveri edasist ühendust

Puhverserver vajab oma resolverit ja lubatud marsruuti saidini, lisaks kõiki tulemüüri või tõlke poliitikaid, mida selle internetipiir nõuab. Kuulajani jõudev brauser ei tõesta sellest midagi. Testige teist voogu puhverserveri enda seest, sama sihtkoha ja pordiga, millest kasutaja teatas.

HTTPS-i puhul avab CONNECT tunneli soovitud sihtkohta. Tavaline edastamine ei anna puhverserverile dekrüpteeritud lehte, ja sertifikaadi valideerimise väljalülitamine kontrolli improviseerimiseks ei ole lahendus.

Samm 5: eristage nelja tõrget

Puhverserveri autentimise väljakutse on kuulajalt 407. Keeldutud CONNECT on puhverserveri poliitika otsus, tavaliselt oma oleku ja logireaga. Nurjunud edasine ühendus näeb välja nagu aegumine või lähtestamine, mille puhverserver sihtkoha suhtes logib. Saidilt saabunud vastus tähendab, et mõlemad ühendused töötasid ja probleem on allikas.

Teatage piir, mida nägite, mitte kokkuvõtet, et VPN nurjus.

Samm 6: määrake ulatus ja planeerige varulahendus

Otsustage, mis juhtub, kui puhverserver või tunnel pole saadaval, ja öelge selgelt, millist liiklust see kavand katab. See kannab veebipääsu klientidelt, kes seadet järgivad; see ei kanna meili, suvalisi seadmeprotokolle ega tarkvara, mis konfiguratsiooni eirab.

Valideerige nõutav brauseri toiming ja üks nõutav keeldumine kinnitatud plaani järgi enne, kui laiendate kavandi rohkematele klientidele.