Trình duyệt chi nhánh đến proxy: hai kết nối, hai tuyến

Một trình duyệt chi nhánh phía sau proxy tường minh mở hai kết nối, và chúng thất bại vì những lý do khác nhau. Kết nối thứ nhất là từ trình duyệt đến bộ lắng nghe của proxy, được chuyển qua VPN của chi nhánh. Kết nối thứ hai là từ proxy đến trang web, dùng trình phân giải, tuyến và chính sách ra của chính proxy. Những phiếu hỗ trợ coi chúng là một luồng sẽ đưa người ta đến nhầm thiết bị hàng giờ. Hãy thiết lập từng kết nối một cách có chủ đích và kiểm tra theo thứ tự đó.

Bước 1: ghi lại hai luồng

Đích đến trước mắt của trình duyệt là bộ lắng nghe của proxy, không phải mọi trang mà người dùng cuối cùng truy cập. Chỉ một câu đó giải quyết phần lớn sự nhầm lẫn trong thiết kế này.

branch browser -> site VPN -> central proxy listener
central proxy -> approved egress policy -> website

Nguồn khác nhau, tuyến khác nhau, quyền khác nhau. Giữ bản phác thảo trong biên bản thay đổi, vì mỗi lần kiểm tra sau đều tham chiếu đến một trong hai nửa của nó.

Bước 2: cho trình duyệt một đường đến bộ lắng nghe

Ghi lại tên máy chủ proxy, cổng của bộ lắng nghe, các yêu cầu xác thực và các nguồn chi nhánh được phép. Danh sách đó là tiêu chí chấp nhận cho luồng thứ nhất, và phải bao gồm cả phân giải tên nội bộ lẫn tuyến đường hầm.

Áp dụng một quy tắc mạng hẹp cho dịch vụ dự định thay vì công bố một proxy không giới hạn lên internet. Proxy có thể ở lại trong mạng nội bộ khi các máy khách dự định của nó có đường được hỗ trợ tới nó.

Bước 3: cấu hình trình duyệt, không chỉ bảng tuyến

Dùng cài đặt proxy của trình duyệt, một tệp PAC hoặc cơ chế khám phá được quản lý của tổ chức. Gửi các gói trang web thông thường đến địa chỉ proxy bằng một tuyến không làm trình duyệt nói giao thức proxy; đó là chặn trong suốt và thuộc về một thiết kế cổng khác.

Ghi lại ứng dụng nào tuân theo cài đặt. Ứng dụng thư, trình cập nhật và trò chơi thường không tuân theo, và chúng sẽ tiếp tục dùng đường đơn giản.

Bước 4: chứng minh kết nối đi tiếp của proxy

Proxy cần trình phân giải riêng và một tuyến được phép đến trang web, cùng với chính sách tường lửa hoặc biên dịch mà biên giới internet của nó yêu cầu. Một trình duyệt đến được bộ lắng nghe không chứng minh được điều nào trong số đó. Kiểm tra luồng thứ hai từ chính proxy, với cùng đích và cổng mà người dùng đã báo cáo.

Với HTTPS, CONNECT mở một đường hầm đến đích được yêu cầu. Chuyển tiếp thông thường không trao cho proxy trang đã giải mã, và việc tắt xác thực chứng chỉ để tạm ứng việc kiểm tra không phải là giải pháp.

Bước 5: phân biệt bốn lỗi

Thách thức xác thực proxy là một 407 từ bộ lắng nghe. CONNECT bị từ chối là quyết định chính sách trên proxy, thường có trạng thái và dòng nhật ký riêng. Kết nối đi tiếp thất bại trông như hết thời gian hoặc đặt lại mà proxy ghi nhận đối với đích. Phản hồi của trang web nghĩa là cả hai kết nối đều hoạt động và vấn đề nằm ở nguồn.

Hãy báo cáo ranh giới bạn quan sát được, không phải bản tóm tắt rằng VPN đã thất bại.

Bước 6: xác định phạm vi và lập kế hoạch dự phòng

Quyết định điều gì xảy ra khi proxy hoặc đường hầm không khả dụng, và nói rõ thiết kế này bao phủ lưu lượng nào. Nó mang truy cập web từ các máy khách tuân theo cài đặt proxy; nó không mang thư, giao thức thiết bị tùy ý hay phần mềm bỏ qua cấu hình.

Xác nhận thao tác trình duyệt cần thiết và một lần từ chối cần thiết theo một kế hoạch đã được phê duyệt trước khi mở rộng thiết kế cho nhiều máy khách hơn.