Прегледач подружнице до проксија: две везе, две руте

Прегледач подружнице иза експлицитног проксија отвара две везе и оне падају из различитих разлога. Прва је од прегледача до прокси послушаоца, која се преноси кроз VPN подружнице. Друга је од проксија до веб странице, користећи властити резолвер, руту и излазну политику проксија. Тикети подршке који их третирају као један ток шаљу људе на погрешан уређај сатима. Поставите сваку намерно и тестирајте их тим редоследом.

Корак 1: запишите оба тока

Непосредно одредиште прегледача је прокси послушалац, а не свака страница коју корисник на крају посети. Та једна реченица решава већину забуне у овом дизајну.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Различити извори, различите руте, различите дозволе. Држите скицу у запису промене, јер се свака каснија провера односи на једну од његове две половине.

Корак 2: дајте прегледачу пут до послушаоца

Запишите име хоста проксија, порт послушаоца, захтеве за проверу идентитета и дозвољене изворе подружнице. Тај списак су критеријуми прихватања за први ток и треба да укључи интерно разрешавање имена као и руту тунела.

Примените уско мрежно правило за намењену услугу уместо објављивања неограниченог проксија на интернету. Прокси може остати на интерној мрежи када његови намењени клијенти имају подржан пут до њега.

Корак 3: конфигуришите прегледач, не само табелу рута

Користите поставку проксија у прегледачу, PAC датотеку или управљани механизам откривања организације. Слање обичних пакета странице ка адреси проксија са рутом не чини да прегледач говори прокси протокол; то је транспарентно пресретање и припада другом дизајну приступника.

Запишите које апликације поштују поставку. Поштански клијенти, програми за ажурирање и игре то често не чине и наставиће да користе обичан пут.

Корак 4: докажите одлазну везу проксија

Проксију требају властити резолвер и дозвољена рута до странице, плус било која политика заштитног зида или превођења коју захтева његова интернет граница. Прегледач који стигне до послушаоца не доказује ништа од тога. Тестирајте други ток са самог проксија, користећи исто одредиште и порт које је корисник пријавио.

За HTTPS CONNECT отвара тунел до затраженог одредишта. Обично прослеђивање не даје проксију дешифровану страницу, а искључивање провере сертификата ради импровизације прегледа није решење.

Корак 5: разликујте четири квара

Прокси изазов за проверу идентитета је 407 од послушаоца. Одбијен CONNECT је одлука о политици на проксију, обично са властитим статусом и линијом записа. Неуспешна одлазна веза изгледа као истек времена или ресет који прокси бележи према одредишту. Одговор странице значи да су обе везе радиле и да је проблем на извору.

Пријавите границу коју сте приметили, а не сажетак да је VPN заказао.

Корак 6: одредите обим и планирајте резерву

Одлучите шта се дешава када прокси или тунел нису доступни и јасно реците који саобраћај овај дизајн покрива. Он преноси веб приступ од клијената који поштују поставку проксија; не преноси пошту, произвољне протоколе уређаја ни софтвер који занемарује конфигурацију.

Проверите потребну радњу прегледача и једно потребно одбијање према одобреном плану пре него што дизајн проширите на више клијената.