Brskalnik podružnice do proxyja: dve povezavi, dve poti

Brskalnik podružnice za eksplicitnim proxyjem odpre dve povezavi in ti spodletita iz različnih razlogov. Prva je od brskalnika do poslušalca proxyja, ki se prenaša skozi VPN podružnice. Druga je od proxyja do spletnega mesta, z lastnim resolverjem, potjo in izhodno politiko proxyja. Zahtevki podpore, ki ju obravnavajo kot en tok, pošiljajo ljudi k napačni napravi za ure. Nastavite vsako namerno in ju preizkusite v tem vrstnem redu.

Korak 1: zapišite oba tokova

Neposredni cilj brskalnika je poslušalec proxyja, ne vsako spletno mesto, ki ga uporabnik na koncu obišče. Ta en stavek reši večino zmede v tej zasnovi.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Različni viri, različne poti, različna dovoljenja. Skico hranite v zapisu spremembe, ker se vsako poznejše preverjanje sklicuje na eno od njenih dveh polovic.

Korak 2: dajte brskalniku pot do poslušalca

Zabeležite ime gostitelja proxyja, vrata poslušalca, zahteve za preverjanje pristnosti in dovoljene vire podružnice. Ta seznam so merila sprejemljivosti za prvi tok in mora vključevati notranje razreševanje imen ter pot tunela.

Uporabite ozko omrežno pravilo za predvideno storitev, namesto da objavite neomejen proxy na internetu. Proxy lahko ostane v notranjem omrežju, ko imajo njegove predvidene stranke do njega podprto pot.

Korak 3: nastavite brskalnik, ne le tabele poti

Uporabite nastavitev proxyja v brskalniku, datoteko PAC ali upravljani mehanizem odkrivanja organizacije. Pošiljanje običajnih paketov spletnega mesta na naslov proxyja s potjo ne prisili brskalnika, da govori protokol proxyja; to je pregledno prestrezanje in spada k drugi zasnovi prehoda.

Zapišite, katere aplikacije spoštujejo nastavitev. Poštni odjemalci, posodobilniki in igre tega pogosto ne počnejo in bodo še naprej uporabljali preprosto pot.

Korak 4: dokažite odhodno povezavo proxyja

Proxy potrebuje lasten resolver in dovoljeno pot do spletnega mesta ter vse politike požarnega zidu ali prevajanja, ki jih zahteva njegova internetna meja. Brskalnik, ki doseže poslušalca, ne dokaže nič od tega. Preizkusite drugi tok s samega proxyja, z istim ciljem in vrati, ki jih je poročal uporabnik.

Za HTTPS CONNECT odpre tunel do zahtevanega cilja. Običajno posredovanje proxyju ne preda dešifrirane strani, izklop preverjanja potrdil zaradi improviziranega pregleda pa ni rešitev.

Korak 5: ločite štiri napake

Izziv preverjanja pristnosti proxyja je 407 s poslušalca. Zavrnjen CONNECT je odločitev politike na proxyju, običajno z lastnim stanjem in vrstico dnevnika. Neuspešna odhodna povezava je videti kot časovna omejitev ali ponastavitev, ki jo proxy zabeleži glede na cilj. Odgovor spletnega mesta pomeni, da sta obe povezavi delovali in da je težava pri izvoru.

Poročajte o meji, ki ste jo opazili, ne o povzetku, da je VPN spodletel.

Korak 6: določite obseg in načrtujte rezervo

Odločite, kaj se zgodi, ko proxy ali tunel nista na voljo, in jasno povejte, kateri promet pokriva ta zasnova. Prinaša spletni dostop od strank, ki spoštujejo nastavitev proxyja; ne prinaša pošte, poljubnih protokolov naprav ali programske opreme, ki ignorira konfiguracijo.

Preverite zahtevano dejanje brskalnika in eno zahtevano zavrnitev po odobrenem načrtu, preden zasnovo razširite na več strank.