Għaliex 403 minn sit VPN mhix falliment tal-proxy

L-utenti jaqtgħu l-VPN, jiltaqgħu ma' 403 fuq sit intern u jirrappurtaw li l-proxy mhux jaħdem. Tliet affarijiet separati jistgħu jipproduċu dik il-paġna: l-oriġini rrifjutat it-talba, il-proxy 'l quddiem irrifjuta li jiftaħ it-tunnel, jew il-proxy talab il-kredenzjali tiegħu stess. Kull waħda minnhom hija tweġiba korretta għal mistoqsija differenti, u l-iffaċċjar tagħhom f'paġna waħda ġenerali ta' falliment jeqred l-unika prova li għandek. Issortja r-rifjut skont il-komponent li pproduċieh, imbagħad qabbel il-passaġġ tan-netwerk li kull komponent fil-fatt juża.

Semmi l-komponent li pproduċa l-403

Kodiċi tal-istat HTTP jappartjeni lill-parti li bagħtetu. Meta l-oriġini tirritorna 403, tkun analizzat it-talba u ddeċidiet li s-sejjieħ jista' ma jkollux ir-riżorsa, li hija tweġiba ta' awtorizzazzjoni u mhux problema tat-trasport. Meta proxy 'l quddiem iwieġeb 403 għal CONNECT, ikun irrifjuta li jibni t-tunnel għal kollox, u xejn aktar 'il fuq ma ġie kkuntattjat qatt. Meta jwieġeb 407, irid il-kredenzjali tiegħu stess, li m'għandhomx x'jaqsmu mad-dħul tal-applikazzjoni.

RFC 9110 jiddefinixxi dawn ir-rwoli, inkluża l-isfida speċifika għall-proxy. Aqra l-istat tar-risposta nnifisha u kwalunkwe intestatura Proxy-Authenticate qabel ma taqra l-korp, għax paġna tal-iżball HTML ħbiberija normalment taħbi liema komponent kitbitha.

X'jaħbi tunnel CONNECT minn relay tal-bytes

Ladarba proxy jirritorna 200 għal CONNECT, ikun qed jgħaddi bytes u l-browser iżomm is-sessjoni TLS tiegħu stess mal-oriġini. Għalhekk proxy li jgħaddi bytes ma jistax jaqra l-403 encrypted f'dik is-sessjoni, u qatt ma jsir l-awtur tar-rifjut. Rifjut qabel ma jinfetaħ it-tunnel huwa avveniment kompletament differenti, prodott saff aktar 'l isfel.

Proxy rivers li jtemm it-TLS jinsab f'pożizzjoni differenti: għandu l-fruntiera tat-TLS, janalizza l-HTTP u jista' legalment jerġa' jikteb jew jinterċetta risposti. Dik il-kapaċità hija għażla ta' konfigurazzjoni, mhux proprjetà tal-proxy b'mod ġenerali, u ma tawtorizzax li tiġi evitata l-politika tal-aċċess tal-applikazzjoni. Li taqra r-risposta hija kapaċità; li tiddeċiedi x'jista' jara s-sejjieħ jibqa' xogħol l-oriġini.

Il-konsegwenza prattika hija li trid tkun taf liema mill-forom tlieta qed tmexxi qabel ma tinterpreta 403. Li żżid regoli tal-ispezzjoni HTTP ma' proxy tal-fluss ma jagħtihx viżibilità, u li tistenna li relay tal-bytes jispjega rifjut tal-oriġini se jibgħatek tfittex fil-log ħażin.

Qabbel il-passaġġ tal-ħruġ tal-proxy mal-indirizz tat-tunnel tal-browser

Browser konness ma' VPN ma jċaqlaqx awtomatikament server proxy separat fuq dak it-tunnel. L-oriġini tara l-indirizz tal-ħruġ tal-proxy, u jekk il-proxy għadu joħroġ mir-rotta default lokali, is-sit protett jara indirizz li qatt ma ġie konfigurat biex jafdah. L-indirizz VPN intern fuq il-laptop huwa inviżibbli għal dik l-oriġini. Dan huwa l-aktar raġuni komuni għaliex tunnel li jaħdem xorta jagħti 403 minn sit li jġib ruħu b'mod korrett għal kulħadd ieħor.

Ittestja ż-żewġ passaġġi separatament sabiex l-indirizzi ma jitħalltux.

curl -sS -o /dev/null -w 'status=%{http_code}\n' --noproxy '*' https://198.51.100.20/private
curl -sS -o /dev/null -w 'status=%{http_code}\n' -x http://203.0.113.10:3128 https://198.51.100.20/private

L-ewwel talba turi x'jwieġeb l-oriġini għall-indirizz tiegħek stess, it-tieni turi x'jwieġeb għal dak tal-proxy. Par 403 li jaqbel jindika r-regoli tal-awtorizzazzjoni tal-oriġini; 200 segwit minn 403 jindika l-passaġġ tal-proxy. Staqsi lis-sid tal-oriġini liema indirizzi tas-sors is-sett ta' regoli fil-fatt jammetti, minflok tassumi li l-pool tal-VPN huwa inkluż.

Ittestja kull fruntiera b'talba li tiżolaha

Iżola s-saff tal-proxy billi titolbu xi ħaġa li ma jistax jirrifjuta għal raġunijiet tal-applikazzjoni. CONNECT lejn host li l-proxy jista' jilħaq, bl-output jintrema, jgħidlek jekk id-dħul fit-tunnel jaħdimx xejn.

curl -sSv -o /dev/null -x http://203.0.113.10:3128 https://198.51.100.20/ 2>&1 | grep -E 'CONNECT|HTTP/1.1|Proxy-Authenticate'

Jekk dan jipprintja 200 għall-CONNECT u mbagħad handshake TLS, id-dħul tal-proxy huwa tajjeb u l-403 aktar tard ġie mill-oriġini. Jekk jipprintja 407, ipprovdi kredenzjali tal-proxy b'--proxy-user u erġa' għmel qabel ma tislet xi konklużjoni dwar is-sit. Jekk jipprintja 403 fuq il-linja CONNECT, il-lista tal-permessi tal-proxy stess hija l-fruntiera li għandha tiġi eżaminata, u l-applikazzjoni mhijiex involuta.

Żomm il-kredenzjali barra mill-istorja tal-shell u barra mit-traskrizzjonijiet pejjasti. Password tal-proxy ittajpjat f'linja tal-kmand jidher lil utenti lokali oħra, u traċċa CONNECT maqbuda bil-kredenzjali hija agħar minn ebda traċċa.

Żomm il-verdett leggibbli minflok terġa' tikteb il-paġna

Ladarba tkun taf liema komponent irrifjuta, ippreserva dik it-tweġiba. Proxy rivers li jerġa' jittikketta 403 tal-oriġini bħala timeout 504, jew jissostitwih b'paġna ta' suċċess, jaħbi deċiżjoni ta' awtorizzazzjoni wara storja ta' disponibilità u jibgħat lill-respondent li jmiss lit-tim ħażin. Paġni tal-iżball personalizzati huma tajbin meta jżommu l-istat u jżidu l-kuntest.

Il-caching jistħoqqlu l-istess attenzjoni. RFC 9111 jirregola kif il-caches kondiviżi jistgħu jerġgħu jużaw risposti, u rifjut prodott għal sejjieħ wieħed m'għandux jingħata lil ieħor bħallikieku kien permess. Jekk ir-risposti ta' rifjut jinħażnu xejn, żommhom privati u limitati, u qatt ma żżid regola pubblika ta' freskezza biss biex tnaqqas it-traffiku 'l fuq.

Iffinalizza b'verdett bil-miktub li jsemmi l-komponent, l-istat li pproduċa u l-indirizz tas-sors li ra l-oriġini. Irreġistra t-talba eżatta, is-settings tal-proxy fis-seħħ u l-ħin, sabiex ir-rapport li jmiss ikun jista' jiġi mqabbel mal-istess evidenza minflok jerġa' jiġi derivat mill-memorja. Dik ir-rekord iwieġeb ir-rapport li jmiss fi ftit sekondi u jwaqqaf l-istess 403 milli jiġi djanjostikat mill-ġdid bħala qtugħ tal-VPN.