Bezgalvas pārlūkprogrammas starpniekservera autentifikācija nav VPN maršruts

VPN var pārsūtīt pārlūkprogrammas trafiku uz starpniekserveri, taču pārlūkprogramma joprojām nevar izmantot šo starpniekserveri, jo maršruts un akreditācijas dati ir dažādas lietas. Bezgalvu automatizācija padara atstarpi grūtāk saskatāmu, jo nav loga un uzvednes, ko pamanīt. Kļūme parasti parādās kā uzkarēšanās vai vispārēja navigācijas kļūda, un pirmais instinkts ir vainot tuneli. Tālāk esošajā kontrolsarakstā ir izdalītas četras lietas, kurām ir jābūt patiesām, lai bezgalvena pieprasījums, izmantojot autentificētu starpniekserveri, varētu izdoties.

Divas sarunas, divi akreditācijas dati

Notiek divas sarunas, un tās pieder dažādām pusēm. Pārlūkprogramma vispirms izveido savienojumu ar starpniekservera uztvērēju, kas var tai pieprasīt akreditācijas datus; pēc tam starpniekserveris izveido vai atļauj tālāku savienojumu ar galamērķi. VPN var veikt pirmo posmu, nebūdams galapunkts, kas izaicina pārlūkprogrammu, un tam nav nekā ko teikt par otro posmu.

HTTP 407 ir signāls, ka klientam ir jāautentificējas starpniekservera pieprasījumam, kas tiek nosūtīts Proxy-Authenticate ar atbildi, kas tiek gaidīta Proxy-Authorization. Tas nav galamērķa vietnes pieteikšanās, un abu sajaukšana šeit ir visizplatītākais neskaidrību avots.

Tātad četras pārbaudes ir šādas: kuru starpniekserveri pārlūkprogramma faktiski izvēlējās, kurš atbild uz 407, kurā tīklā pārlūkprogrammas process ir ieslēgts un kā akreditācijas dati tiek piegādāti bez cilvēka. Katrs var neizdoties neatkarīgi, un katra neveiksme no malas izskatās līdzīga. Apstrādājiet tos kārtībā, jo vēlāka pārbaude nevar kompensēt agrāko. Starpniekserveri, kas nekad nav atlasīts, nevar autentificēt, un akreditācijas dati, kas pastāv tikai jūsu klēpjdatorā, nevar sasniegt konteineru.

Pārbaudiet 1: kurš starpniekserveris ir faktiski atlasīts

Sāciet ar atlasi, jo pārlūkprogramma, kas ignorē jūsu starpniekservera iestatījumus, nekad nesasniedz izaicinājumu. Pārlūkā Chrome karodziņš ir --proxy-server=proxy.example:3128 , ar --proxy-bypass-list izņēmumiem, un Selēns parāda to pašu, izmantojot pārlūkprogrammas opcijas. PAC fails ir atšķirīgs mehānisms ar saviem atteices režīmiem.

Pēc tam apstipriniet darbību pārlūkprogrammas vidē, nevis čaulā. Neatkarīga zonde ar to pašu starpniekserveri ir curl -x http://proxy.example:3128 -v https://example.com , un tās detalizētā izvade parāda, vai CONNECT izdevās, kāds Proxy-Authenticate atgriezās un vai tika atgriezts 407. Ja loks iegūst 407 un pārlūkprogramma uzkaras, problēma ir akreditācijas datu ceļā, nevis tīklā. Ja lokošana izdodas, bet pārlūkprogramma ne, tad pārlūkprogramma neizmanto starpniekserveri, kas, jūsuprāt, ir.

Pārbaudiet 2: kurš atbild uz 407

407 ir īpašnieks, un tā nosaukšana nosaka, kur tiks veikts labojums. Ja izaicinājums nāk no korporatīvā starpniekservera, labojums ir akreditācijas dati, ko pārlūkprogramma var parādīt bez uzraudzības. Ja tas nāk no augšpuses starpniekservera, uz kuru pārsūta pirmais, akreditācijas dati pieder šim otrajam lēcienam, un pirmais starpniekserveris, iespējams, pārsūta izaicinājumu nemainīgu. Izlasiet autentifikācijas tvērumu un resursdatoru Proxy-Authenticate galvenē, jo tie nosauc lodziņu, kurā tiek prasīts.

Saglabājiet šo atšķirību jebkurā žurnālā. Starpniekservera izaicinājums, atteikts pārsūtīšanas savienojums, pierakstīšanās vietnē un VPN transporta taimauts ir četras dažādas kļūmes ar četriem dažādiem īpašniekiem, un viens vispārīgs kļūdas ziņojums iznīcina jums nepieciešamo informāciju.

Pārbaudiet 3: akreditācijas datu ceļu

Akreditācijas dati ir vieta, kur tiek pārtraukta lielākā daļa bez uzraudzības atstātu iestatījumu. Selēns var iestatīt starpniekservera resursdatoru un portu, taču HTTP starpniekservera autentifikācija nav šīs konfigurācijas pārnēsājama daļa, un starpniekservera URL akreditācijas dati nav mehānisms, uz kuru varat paļauties dažādās pārlūkprogrammās un draiveru versijās. Atbalstītās opcijas ir jūsu faktiskie steka dokumenti: pārlūkprogrammas paplašinājums, kas atbild uz izaicinājumu, vietējais pārsūtīšanas starpniekserveris, kas pievieno galveni un ir sasniedzams tikai no darba, vai starpniekserveris, kas autentificē darba slodzi ar citiem līdzekļiem. Izvēlieties vienu apzināti un pārbaudiet, vai tas atbilst precīzai pārlūkprogrammas, draivera un Selēna versijām, kuras darbosit.

Glabājiet akreditācijas datus no vietām, kur tie var noplūst. Komandrindas ir redzamas procesu sarakstos, ekrānuzņēmumi nonāk testa ziņojumos, pārlūkprogrammas pēdas un HAR faili tver galvenes, un testa konfigurācija ir uz visiem laikiem. Izmantojiet darba slepenās piegādes mehānismu un tā rediģēšanas noteikumus, kā arī iekļaujiet starpniekservera kontu līdz vajadzīgajiem galamērķiem vai lomai.

Ja organizācija obligātā starpniekservera vietā piedāvā atļautu tiešo VPN maršrutu, skaidri salīdziniet abus dizainus. Lai apietu politiku, mierīgi neatspējojiet starpniekserveri un neatdariniet cita klienta autentifikāciju.

Pārbaudiet 4: pārlūkprogrammas procesa tīkla kontekstu

Šo čeku cilvēki izlaiž. Darbinieka palaists pārlūks, konteiners vai attāls Selenium Grid mezgls izmanto šīs vides tīklu, tāpēc jūsu klēpjdatora VPN savienojums un apvalka starpniekservera mainīgie apraksta ceļu, kuram pārlūkprogramma nekad nevar pieskarties.

Ierakstiet piecus faktus par neveiksmīgo darbu: pārlūkprogrammas resursdators, konfigurētais starpniekserveris, sākotnējā atrisinātāja ceļš, atlasītais maršruts un autentifikācijas īpašnieks. Pēc tam veiciet vienu nekaitīgu autorizētu pieprasījumu tieši šajā kontekstā, atstājot parasto galamērķa TLS verifikāciju un lietojumprogrammas autorizāciju. Pārlūkprogramma bez galvas, kas tiek startēta veiksmīgi, nepierāda ne starpniekservera piekļuvi, ne VPN pārklājumu, un tukšas lapas ekrānuzņēmums neko nepierāda. Pieprasījums, kas atgriež 200 visā ķēdē, ir vienīgais svarīgais pierādījums.

Gatavajai darbplūsmai ir trīs rekvizīti, kurus ir vērts pārbaudīt kā kopu. Ir atbalstīts maršruts no pārlūkprogrammas resursdatora uz starpniekserveri, skaidra starpnieka politika, kas nosauc starpniekserveri un galamērķus, un akreditācijas datu dzīves cikls, kas nav atkarīgs no operatora atbildes uz neredzamu uzvedni. Ja kāds no trim ir atkarīgs no cilvēka, darbs vēl nav bez uzraudzības, lai ko arī teiktu izejas kods. Pierakstiet piecus faktus, pirms nākamā persona manto cauruļvadu.