Begalvio naršyklės tarpinio serverio autentifikavimas nėra VPN maršrutas

VPN gali perduoti naršyklės srautą į tarpinį serverį ir vis tiek neleidžia naršyklei naudoti šio tarpinio serverio, nes maršrutas ir kredencialas yra skirtingi dalykai. Dėl automatizavimo be galvos spragą sunkiau pamatyti, nes nėra lango ir nėra raginimo, kurį būtų galima pastebėti. Gedimas dažniausiai pasireiškia kaip užkabinimas arba bendra navigacijos klaida, o pirmasis instinktas yra kaltinti tunelį. Toliau pateiktame kontroliniame sąraše išskiriami keturi dalykai, kurie turi būti teisingi, kad be galvos užklausa per patvirtintą tarpinį serverį būtų sėkminga.

Du pokalbiai, du įgaliojimai

Vyksta du pokalbiai ir jie priklauso skirtingoms šalims. Naršyklė pirmiausia prisijungia prie tarpinio serverio klausytojo, kuris gali iššūkį jai gauti kredencialus; tada tarpinis serveris sukuria arba leidžia toliau prisijungti prie paskirties vietos. VPN gali atlikti pirmąjį etapą, nebūdamas galutiniu tašku, kuris meta iššūkį naršyklei, ir jis neturi nieko pasakyti apie antrąjį.

HTTP 407 yra signalas, kad klientas turi autentifikuoti tarpinio serverio užklausą, pateiktą Proxy-Authenticate su atsakymu, kurio laukiama Proxy-Authorization. Tai nėra paskirties svetainės prisijungimas, o šių dviejų sumaišymas čia yra dažniausias painiavos šaltinis.

Taigi keturios patikros yra šios: kurį tarpinį serverį iš tikrųjų pasirinko naršyklė, kas atsako į 407, kuriame tinkle įjungtas naršyklės procesas ir kaip kredencialas perduodamas be žmogaus. Kiekvienas gali žlugti savarankiškai, o iš išorės kiekviena nesėkmė atrodo panaši. Dirbkite juos tvarkingai, nes vėlesnis patikrinimas negali kompensuoti ankstesnio. Niekada nepasirinktas tarpinis serveris negali būti autentifikuotas, o kredencialas, esantis tik jūsų nešiojamajame kompiuteryje, negali pasiekti konteinerio.

Patikrinkite 1: kuris tarpinis serveris iš tikrųjų pasirinktas

Pradėkite nuo pasirinkimo, nes naršyklė, kuri nepaiso tarpinio serverio nustatymo, niekada nepasiekia iššūkio. „Chrome“ vėliavėlė yra --proxy-server=proxy.example:3128 , su --proxy-bypass-list išimtimis, o Selenas atskleidžia tą patį per naršyklės parinktis. PAC failas yra kitoks mechanizmas, turintis savo gedimo režimus.

Tada patvirtinkite iš veikiančios naršyklės aplinkos, o ne iš savo apvalkalo. Nepriklausomas zondas su tuo pačiu tarpiniu serveriu yra curl -x http://proxy.example:3128 -v https://example.com, o jo išsami išvestis rodo, ar CONNECT pavyko, koks Proxy-Authenticate grįžo ir ar buvo grąžintas 407. Jei curl gauna 407 ir naršyklė pakimba, problema yra kredencialų kelias, o ne tinklas. Jei sukūrimas pavyksta, o naršyklė ne, naršyklė nenaudoja tarpinio serverio, kuris, jūsų manymu, yra.

Patikrinkite 2: kas atsakys į 407

407 turi savininką, o jo pavadinimas nusprendžia, kur bus pataisyta. Jei iššūkis kyla iš įmonės įgaliotojo serverio, tai yra kredencialas, kurį naršyklė gali pateikti be priežiūros. Jei jis gaunamas iš ankstesnio tarpinio serverio, į kurį persisiunčia pirmasis, kredencialas priklauso tam antrajam šuoliui ir pirmasis tarpinis serveris gali perduoti iššūkį nepakitęs. Perskaitykite autentifikavimo apimtį ir pagrindinį kompiuterį Proxy-Authenticate antraštėje, nes jie pavadina klausimo laukelį.

Išsaugokite šį skirtumą, kad ir ką prisijungtumėte. Tarpinio serverio iššūkis, atsisakytas tolesnio ryšio, prisijungimas prie svetainės ir VPN perdavimo skirtasis laikas yra keturios skirtingos gedimai su keturiais skirtingais savininkais, o vienas bendras klaidos pranešimas sunaikina jums reikalingą informaciją.

Patikrinkite 3: kredencialų kelią

Pats kredencialas yra vieta, kur nutrūksta dauguma neprižiūrimų sąrankų. Selenas gali nustatyti tarpinio serverio prieglobą ir prievadą, tačiau HTTP tarpinio serverio autentifikavimas nėra nešiojama tos konfigūracijos dalis, o įgaliotojo serverio URL kredencialai nėra mechanizmas, kuriuo galite pasikliauti įvairiose naršyklėse ir tvarkyklių versijose. Palaikomos parinktys yra tos, kurios yra faktiškai sukrauti dokumentai: naršyklės plėtinys, kuris atsako į iššūkį, vietinis persiuntimo tarpinis serveris, kuris prideda antraštę ir pasiekiamas tik iš darbo, arba tarpinis serveris, kuris autentifikuoja darbo krūvį kitomis priemonėmis. Sąmoningai pasirinkite vieną ir patikrinkite, ar tiksliai naudojate naršyklę, tvarkyklę ir Selenium versijas.

Saugokite kredencialą nuo vietų, kuriose jis nutekėjo. Komandų eilutės matomos procesų sąrašuose, ekrano kopijos patenka į bandymų ataskaitas, naršyklės pėdsakai ir HAR failai fiksuoja antraštes, o atlikta bandymo konfigūracija yra amžina. Naudokite slapto darbo pristatymo mechanizmą ir jo redagavimo taisykles bei priskirkite įgaliotojo serverio paskyrą į reikiamas paskirties vietas arba vaidmenį.

Jei organizacija siūlo leistiną tiesioginį VPN maršrutą, o ne privalomą tarpinį serverį, aiškiai palyginkite abu dizainus. Neišjunkite tarpinio serverio ir nemėgdžiokite kito kliento autentifikavimo, kad išvengtumėte politikos.

Patikrinkite 4: naršyklės proceso tinklo kontekstą

Tai yra čekis, kurį žmonės praleidžia. Darbuotojo paleista naršyklė, konteineris arba nuotolinis Selenium Grid mazgas naudoja tos aplinkos tinklą, todėl nešiojamojo kompiuterio VPN ryšys ir apvalkalo tarpinio serverio kintamieji apibūdina kelią, kurio naršyklė niekada negali paliesti.

Įrašykite penkis nesėkmingo darbo faktus: naršyklės pagrindinį kompiuterį, sukonfigūruotą tarpinį serverį, pradinį sprendimo kelią, pasirinktą maršrutą ir autentifikavimo savininką. Tada pateikite vieną nekenksmingą įgaliotą užklausą iš to tikslaus konteksto, palikdami įprastą paskirties TLS patvirtinimą ir programos įgaliojimą. Sėkmingai paleidžiama naršyklė be galvos neįrodo nei tarpinio serverio, nei VPN aprėpties, o tuščio puslapio ekrano kopija nieko neįrodo. Užklausa, grąžinanti 200 per visą grandinę, yra vienintelis svarbus įrodymas.

Baigta darbo eiga turi tris savybes, kurias verta patikrinti kaip rinkinį. Yra palaikomas maršrutas nuo naršyklės pagrindinio kompiuterio iki tarpinio serverio, aiški tarpinė politika, įvardijanti tarpinį serverį ir paskirties vietas, ir kredencialų gyvavimo ciklas, kuris nepriklauso nuo operatoriaus atsakymo į nematomą raginimą. Jei kuris nors iš trijų priklauso nuo žmogaus, darbas dar nėra be priežiūros, kad ir koks būtų išėjimo kodas. Užsirašykite penkis faktus, kol kitas asmuo paveldės dujotiekį.