Przeglądarka oddziału do proxy: dwa połączenia, dwie trasy

Przeglądarka oddziału za jawnym proxy otwiera dwa połączenia i zawodzą one z różnych powodów. Pierwsze to przeglądarka do nasłuchiwacza proxy, prowadzone przez VPN oddziału. Drugie to proxy do witryny, z własnym resolverem, trasą i polityką wyjścia proxy. Zgłoszenia wsparcia, które traktują je jako jeden przepływ, wysyłają ludzi na godziny do niewłaściwego urządzenia. Skonfiguruj każde świadomie i testuj je w tej kolejności.

Krok 1: zapisz oba przepływy

Bezpośrednim celem przeglądarki jest nasłuchiwacz proxy, a nie każda witryna, którą użytkownik w końcu odwiedza. To jedno zdanie rozwiązuje większość zamieszania w tym projekcie.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Różne źródła, różne trasy, różne uprawnienia. Zachowaj szkic w rejestrze zmian, ponieważ każde późniejsze sprawdzenie odnosi się do jednej z jego dwóch połówek.

Krok 2: daj przeglądarce drogę do nasłuchiwacza

Zapisz nazwę hosta proxy, port nasłuchiwacza, wymagania dotyczące uwierzytelniania i dozwolone źródła oddziału. Ta lista jest kryterium akceptacji pierwszego przepływu i powinna obejmować wewnętrzne rozwiązywanie nazw oraz trasę tunelu.

Zastosuj wąską regułę sieciową dla zamierzonej usługi zamiast publikować nieograniczone proxy w internecie. Proxy może pozostać w sieci wewnętrznej, gdy jego zamierzeni klienci mają do niego obsługiwaną drogę.

Krok 3: skonfiguruj przeglądarkę, nie tylko tablicę tras

Użyj ustawienia proxy przeglądarki, pliku PAC lub zarządzanego mechanizmu wykrywania organizacji. Wysyłanie zwykłych pakietów witryny pod adres proxy z trasą nie sprawia, że przeglądarka mówi protokołem proxy; to przezroczyste przechwytywanie i należy do innego projektu bramy.

Zapisz, które aplikacje respektują ustawienie. Klienci poczty, aktualizatory i gry często tego nie robią i będą nadal używać prostej drogi.

Krok 4: udowodnij połączenie wychodzące proxy

Proxy potrzebuje własnego resolvera i dozwolonej trasy do witryny, a także polityki zapory lub tłumaczenia wymaganej przez jego granicę internetową. Przeglądarka, która dociera do nasłuchiwacza, niczego z tego nie dowodzi. Przetestuj drugi przepływ z samego proxy, z tym samym celem i portem, które zgłosił użytkownik.

Dla HTTPS CONNECT otwiera tunel do żądanego celu. Zwykłe przekazywanie nie przekazuje proxy odszyfrowanej strony, a wyłączanie weryfikacji certyfikatów w celu improwizacji inspekcji nie jest rozwiązaniem.

Krok 5: rozróżnij cztery awarie

Wyzwanie uwierzytelniania proxy to 407 od nasłuchiwacza. Odrzucony CONNECT to decyzja polityki na proxy, zwykle z własnym statusem i wierszem dziennika. Nieudane połączenie wychodzące wygląda jak przekroczenie czasu lub reset, który proxy rejestruje względem celu. Odpowiedź witryny oznacza, że oba połączenia działały, a problem jest u źródła.

Zgłaszaj zaobserwowaną granicę, a nie podsumowanie, że VPN zawiódł.

Krok 6: określ zakres i zaplanuj rozwiązanie zapasowe

Zdecyduj, co się dzieje, gdy proxy lub tunel są niedostępne, i jasno powiedz, jaki ruch obejmuje ten projekt. Przenosi dostęp do sieci od klientów, którzy respektują ustawienie proxy; nie przenosi poczty, dowolnych protokołów urządzeń ani oprogramowania ignorującego konfigurację.

Zweryfikuj wymaganą operację przeglądarki i jedno wymagane odrzucenie zgodnie z zatwierdzonym planem, zanim rozszerzysz projekt na więcej klientów.