Prehliadač pobočky k proxy: dve spojenia, dve trasy

Prehliadač pobočky za explicitným proxy otvára dve spojenia a tie zlyhávajú z rôznych dôvodov. Prvé je prehliadač k poslucháčovi proxy, vedené cez VPN pobočky. Druhé je proxy k lokalite, s vlastným resolverom, trasou a výstupnou politikou proxy. Tikety podpory, ktoré ich berú ako jeden tok, posielajú ľudí na nesprávne zariadenie na hodiny. Nastavte každé zámerne a testujte ich v tomto poradí.

Krok 1: zapíšte oba toky

Bezprostredným cieľom prehliadača je poslucháč proxy, nie každá lokalita, ktorú používateľ nakoniec navštívi. Táto jediná veta rieši väčšinu zmätku v tomto návrhu.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Rôzne zdroje, rôzne trasy, rôzne povolenia. Uchovajte náčrt v zázname zmien, pretože každá ďalšia kontrola odkazuje na jednu z jeho dvoch polovíc.

Krok 2: dajte prehliadaču cestu k poslucháčovi

Zaznamenajte hostname proxy, port poslucháča, požiadavky na overenie a povolené zdroje pobočky. Tento zoznam je akceptačné kritérium prvého toku a mal by zahŕňať interné rozlišovanie názvov, ako aj trasu tunela.

Použite úzke sieťové pravidlo pre zamýšľanú službu namiesto zverejnenia neobmedzeného proxy na internete. Proxy môže zostať v internej sieti, keď k nemu majú zamýšľaní klienti podporovanú cestu.

Krok 3: nakonfigurujte prehliadač, nielen smerovaciu tabuľku

Použite nastavenie proxy v prehliadači, súbor PAC alebo spravovaný mechanizmus zisťovania organizácie. Posielanie bežných paketov lokality na adresu proxy s trasou neprinúti prehliadač hovoriť protokolom proxy; to je transparentné zachytávanie a patrí k inému návrhu brány.

Zapíšte, ktoré aplikácie nastavenie rešpektujú. Poštoví klienti, aktualizátory a hry to často nerobia a budú ďalej používať jednoduchú cestu.

Krok 4: dokážte odchádzajúce spojenie proxy

Proxy potrebuje vlastný resolver a povolenú trasu k lokalite, plus akúkoľvek politiku firewallu alebo prekladu, ktorú vyžaduje jeho internetová hranica. Prehliadač, ktorý sa dostane k poslucháčovi, nič z toho nedokazuje. Testujte druhý tok zo samotného proxy, s rovnakým cieľom a portom, ktoré nahlásil používateľ.

Pri HTTPS CONNECT otvára tunel k požadovanému cieľu. Bežné preposielanie neodovzdá proxy dešifrovanú stránku a vypnutie overovania certifikátov pre improvizovanú kontrolu nie je riešenie.

Krok 5: rozlišujte štyri poruchy

Výzva na overenie proxy je 407 od poslucháča. Odmietnutý CONNECT je rozhodnutie politiky na proxy, zvyčajne s vlastným stavom a riadkom záznamu. Neúspešné odchádzajúce spojenie vyzerá ako časový limit alebo reset, ktorý proxy zaznamená voči cieľu. Odpoveď lokality znamená, že obe spojenia fungovali a problém je pri zdroji.

Hláste hranicu, ktorú ste pozorovali, nie zhrnutie, že VPN zlyhala.

Krok 6: vymedzte rozsah a naplánujte záložný variant

Rozhodnite, čo sa stane, keď proxy alebo tunel nie sú dostupné, a jasne povedzte, ktorý prenos tento návrh pokrýva. Prenáša prístup na web od klientov, ktorí rešpektujú nastavenie proxy; neprenáša poštu, ľubovoľné protokoly zariadení ani softvér, ktorý ignoruje konfiguráciu.

Overte požadovanú operáciu prehliadača a jedno požadované odmietnutie podľa schváleného plánu, skôr než návrh rozšírite na viac klientov.