Toimipisteen selain välityspalvelimelle: kaksi yhteyttä, kaksi reittiä

Toimipisteen selain eksplisiittisen välityspalvelimen takana avaa kaksi yhteyttä, ja ne epäonnistuvat eri syistä. Ensimmäinen on selaimesta välityspalvelimen kuuntelijaan, toimipisteen VPN:n kautta kulkeva. Toinen on välityspalvelimesta verkkosivustoon, käyttäen välityspalvelimen omaa resolveria, reittiä ja lähtevää käytäntöä. Tukipyynnöt, jotka käsittelevät niitä yhtenä virtana, lähettävät ihmiset tuntikausiksi väärälle laitteelle. Määritä kumpikin tarkoituksella ja testaa ne tässä järjestyksessä.

Vaihe 1: kirjoita kaksi virtaa muistiin

Selaimen välitön kohde on välityspalvelimen kuuntelija, ei jokainen sivusto, jolla käyttäjä lopulta vierailee. Tämä yksi lause ratkaisee suurimman osan tämän suunnitelman sekaannuksesta.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Eri lähteet, eri reitit, eri käyttöoikeudet. Pidä luonnos muutostietueessa, koska jokainen myöhempi tarkistus viittaa jompaankumpaan sen kahdesta puolikkaasta.

Vaihe 2: anna selaimelle polku kuuntelijalle

Kirjaa välityspalvelimen isäntänimi, kuuntelijan portti, todennusvaatimukset ja sallitut toimipisteen lähteet. Tämä luettelo on ensimmäisen virran hyväksymiskriteeri, ja sen tulee sisältää sekä sisäinen nimien ratkaisu että tunnelin reitti.

Käytä kapeaa verkkosääntöä aiottuun palveluun sen sijaan, että julkaisisit rajoittamattoman välityspalvelimen internetiin. Välityspalvelin voi pysyä sisäverkossa, kun sen aiotuilla asiakkailla on tuettu polku siihen.

Vaihe 3: määritä selain, ei vain reittitaulukkoa

Käytä selaimen välityspalvelinasetusta, PAC-tiedostoa tai organisaation hallittua löytömekanismia. Tavallisten sivustopakettien lähettäminen reitillä välityspalvelimen osoitteeseen ei saa selainta puhumaan välityspalvelinprotokollaa; se on läpinäkyvää sieppausta ja kuuluu toiseen yhdyskäytäväsuunnitelmaan.

Kirjaa, mitkä sovellukset noudattavat asetusta. Sähköpostiohjelmat, päivitysohjelmat ja pelit eivät usein noudata, ja ne jatkavat yksinkertaisen polun käyttöä.

Vaihe 4: todista välityspalvelimen eteenpäin yhteys

Välityspalvelin tarvitsee oman resolverinsa ja sallitun reitin verkkosivustoon sekä kaikki palomuurin tai käännöksen käytännöt, joita sen internet-raja vaatii. Kuuntelijalle pääsevä selain ei todista niistä mitään. Testaa toinen virta välityspalvelimesta itsestään, samalla kohteella ja portilla, jonka käyttäjä ilmoitti.

HTTPS:lle CONNECT avaa tunnelin pyydettyyn kohteeseen. Tavallinen edelleenlähetys ei anna välityspalvelimelle salattua sivua, eikä varmenteen validoinnin poistaminen käytöstä tarkastuksen improvisoimiseksi ole ratkaisu.

Vaihe 5: erottele neljä vikaa

Välityspalvelimen todennuspyyntö on kuuntelijalta tuleva 407. Hylätty CONNECT on välityspalvelimen käytäntöpäätös, yleensä omalla tilallaan ja lokirivillään. Epäonnistunut eteenpäin yhteys näyttää aikakatkaisulta tai nollaukselta, jonka välityspalvelin kirjaa kohdetta vasten. Sivuston vastaus tarkoittaa, että molemmat yhteydet toimivat ja ongelma on lähteessä.

Raportoi havaitsemasi raja, älä yhteenvetoa, että VPN epäonnistui.

Vaihe 6: rajaa laajuus ja suunnittele varayhteys

Päätä, mitä tapahtuu, kun välityspalvelin tai tunneli ei ole käytettävissä, ja sano selvästi, mitä liikennettä tämä suunnitelma kattaa. Se välittää verkkoyhteyden asiakkailta, jotka noudattavat välityspalvelinasetusta; se ei välitä sähköpostia, mielivaltaisia laiteprotokollia tai ohjelmistoja, jotka jättävät kokoonpanon huomiotta.

Validoi vaadittu selaintoiminto ja yksi vaadittu hylkäys hyväksytyn suunnitelman mukaisesti ennen kuin laajennat suunnitelman useampiin asiakkaisiin.