Preglednik podružnice do proxyja: dvije veze, dvije rute

Preglednik podružnice iza eksplicitnog proxyja otvara dvije veze i one padaju iz različitih razloga. Prva je od preglednika do proxy poslušaoca, koja se prenosi kroz VPN podružnice. Druga je od proxyja do web stranice, koristeći vlastiti resolver, rutu i izlaznu politiku proxyja. Zahtjevi podrške koji ih tretiraju kao jedan tok šalju ljude na pogrešan uređaj satima. Postavite svaku namjerno i testirajte ih tim redoslijedom.

Korak 1: zapišite oba toka

Neposredno odredište preglednika je proxy poslušalac, a ne svaka stranica koju korisnik na kraju posjeti. Ta jedna rečenica rješava većinu zabune u ovom dizajnu.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Različiti izvori, različite rute, različite dozvole. Držite skicu u zapisu promjene, jer se svaka kasnija provjera odnosi na jednu od njezinih dviju polovica.

Korak 2: dajte pregledniku put do poslušaoca

Zapišite ime hosta proxyja, port poslušaoca, zahtjeve za provjeru identiteta i dopuštene izvore podružnice. Taj popis su kriteriji prihvaćanja za prvi tok i treba uključiti interno razrješavanje imena kao i rutu tunela.

Primijenite usko mrežno pravilo za namijenjenu uslugu umjesto objavljivanja neograničenog proxyja na internetu. Proxy može ostati na internoj mreži kada njegovi namijenjeni klijenti imaju podržan put do njega.

Korak 3: konfigurirajte preglednik, ne samo tablicu ruta

Koristite postavku proxyja u pregledniku, PAC datoteku ili upravljani mehanizam otkrivanja organizacije. Slanje običnih paketa stranice prema adresi proxyja s rutom ne čini da preglednik govori proxy protokol; to je transparentno presretanje i pripada drugom dizajnu pristupnika.

Zapišite koje aplikacije poštuju postavku. Poštanski klijenti, programi za ažuriranje i igre to često ne čine i nastavit će koristiti običan put.

Korak 4: dokažite odlaznu vezu proxyja

Proxyju trebaju vlastiti resolver i dopuštena ruta do stranice, plus bilo koja politika vatrozida ili prevođenja koju zahtijeva njegova internetska granica. Preglednik koji stigne do poslušaoca ne dokazuje ništa od toga. Testirajte drugi tok s proxyja samog, koristeći isto odredište i port koje je korisnik prijavio.

Za HTTPS CONNECT otvara tunel do zatraženog odredišta. Obično prosljeđivanje ne daje proxyju dešifriranu stranicu, a isključivanje provjere certifikata radi improvizacije pregleda nije rješenje.

Korak 5: razlikujte četiri kvara

Proxy izazov za provjeru identiteta je 407 od poslušaoca. Odbijen CONNECT je odluka o politici na proxyju, obično s vlastitim statusom i linijom zapisa. Neuspješna odlazna veza izgleda kao istek vremena ili reset koji proxy bilježi prema odredištu. Odgovor stranice znači da su obje veze radile i da je problem na izvoru.

Prijavite granicu koju ste primijetili, a ne sažetak da je VPN zakazao.

Korak 6: odredite opseg i planirajte rezervu

Odlučite što se događa kada proxy ili tunel nisu dostupni i jasno recite koji promet ovaj dizajn pokriva. On prenosi web pristup od klijenata koji poštuju postavku proxyja; ne prenosi poštu, proizvoljne protokole uređaja ni softver koji zanemaruje konfiguraciju.

Provjerite potrebnu radnju preglednika i jedno potrebno odbijanje prema odobrenom planu prije nego dizajn proširite na više klijenata.