Filialo naršyklė į proxy: dvi jungtys, du maršrutai

Filialo naršyklė už aiškaus proxy atidaro dvi jungtis, ir jos nepavyksta dėl skirtingų priežasčių. Pirmoji – nuo naršyklės iki proxy klausytojo, perduodama per filialo VPN. Antroji – nuo proxy iki svetainės, naudojant paties proxy resolverį, maršrutą ir išėjimo politiką. Pagalbos bilietai, kurie jas traktuoja kaip vieną srautą, valandoms nukreipia žmones prie netinkamo įrenginio. Nustatykite kiekvieną sąmoningai ir išbandykite jas tokia tvarka.

1 žingsnis: užrašykite du srautus

Tiesioginė naršyklės paskirtis yra proxy klausytojas, o ne kiekviena svetainė, kurią naudotojas galiausiai aplanko. Šis vienas sakinys išsprendžia didžiąją dalį šio dizaino painiavos.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Skirtingi šaltiniai, skirtingi maršrutai, skirtingi leidimai. Laikykite eskizą pakeitimų įraše, nes kiekviena vėlesnė patikra nurodo vieną iš dviejų jo pusių.

2 žingsnis: duokite naršyklei kelią iki klausytojo

Užrašykite proxy pagrindinio kompiuterio vardą, klausytojo prievadą, autentifikavimo reikalavimus ir leidžiamus filialo šaltinius. Šis sąrašas yra pirmojo srauto priėmimo kriterijus ir turėtų apimti tiek vidinį vardų sprendimą, tiek tunelio maršrutą.

Taikykite siaurą tinklo taisyklę numatytai paslaugai, o ne skelbkite neribotą proxy internete. Proxy gali likti vidiniame tinkle, kai jo numatyti klientai turi palaikomą kelią iki jo.

3 žingsnis: sukonfigūruokite naršyklę, o ne tik maršrutų lentelę

Naudokite naršyklės proxy parametrą, PAC failą arba organizacijos valdomą aptikimo mechanizmą. Įprastų svetainės paketų siuntimas maršrutu link proxy adreso nepriverčia naršyklės kalbėti proxy protokolu; tai skaidrus perėmimas ir priklauso kitam tinklų vartų dizainui.

Užrašykite, kurios programos gerbia parametrą. Pašto klientai, atnaujintuvai ir žaidimai dažnai to nedaro ir toliau naudosis paprastu keliu.

4 žingsnis: įrodykite proxy išeinančią jungtį

Proxy reikia savo resolverio ir leidžiamo maršruto iki svetainės, be to, bet kokios ugniasienės ar vertimo politikos, kurios reikalauja jo interneto riba. Naršyklė, pasiekianti klausytoją, nieko to neįrodo. Išbandykite antrą srautą iš paties proxy, su ta pačia paskirtimi ir prievadu, kuriuos nurodė naudotojas.

HTTPS atveju CONNECT atidaro tunelį iki prašomos paskirties. Įprastas perdavimas neperduoda proxy iššifruoto puslapio, o sertifikatų tikrinimo išjungimas bandant improvizuoti inspekciją nėra sprendimas.

5 žingsnis: atskirkite keturis gedimus

Proxy autentifikavimo iššūkis yra 407 iš klausytojo. Atmestas CONNECT yra politikos sprendimas proxy serveryje, dažniausiai su savo būsena ir žurnalo eilute. Nepavykusi išeinanti jungtis atrodo kaip skirtasis laikas arba atstatymas, kurį proxy registruoja paskirties atžvilgiu. Svetainės atsakymas reiškia, kad abi jungtys veikė ir problema yra šaltinyje.

Praneškite apie pastebėtą ribą, o ne santrauką, kad VPN nepavyko.

6 žingsnis: apibrėžkite apimtį ir suplanuokite atsarginį variantą

Nuspręskite, kas nutinka, kai proxy arba tunelis nepasiekiami, ir aiškiai pasakykite, kokį srautą apima šis dizainas. Jis perduoda žiniatinklio prieigą iš klientų, kurie gerbia proxy parametrą; jis neperduoda pašto, savavališkų įrenginio protokolų ar programinės įrangos, kuri nepaiso konfigūracijos.

Patvirtinkite reikiamą naršyklės operaciją ir vieną reikiamą atsisakymą pagal patvirtintą planą prieš išplečiant dizainą daugiau klientų.