Понимание прокси-серверов (операционная система, браузеры, JVM, локальный прокси)

Question

За годы работы за брандмауэром на своей повседневной работе я потерял счет, сколько раз мне приходилось настраивать, перенастраивать и просто экспериментировать с настройками прокси-сервера, чтобы заставить это приложение работать правильно.

Я думаю, что многие другие разработчики / технические специалисты делают то же самое. Представьте, что вы работаете в компании, где у вас есть [развернутый] сервер Microsoft ISA, развернутый вместе с Active Directory, который легко интегрируется с ним. Конечно, вы на Windows. Из-за этого у вас могут быть приложения, которые не позволяют отправлять учетные данные NTLM на сервер, или вы предпочитаете не хранить свои собственные учетные данные в коде где-либо. Таким образом, вы также установили свой собственный прокси, который использует ISA в качестве прокси- цепочки - CNTLM.

Итак, вот несколько примеров:

• Internet Explorer - ваши сотрудники службы технической поддержки принудительно устанавливают прокси-сервер ISA и исключения (которые вы не можете обновить) в настройках IE через групповую политику. Это работает безупречно, кроме случаев, когда это не так.

• Firefox - Хорошо, так кто еще использует Internet Explorer? Firefox - я использовал FoxyProxy, который иногда работает. На основе сайта, который вы посещаете, методом проб и ошибок выберите прокси (ISA, Direct, CNTLM)

• Другие браузеры - Если Firefox не ваша вещь, возможно, вы используете Chrome, Opera, ??.

• Что-нибудь Java - Сколько раз вы набирали -Dhttp.proxyHost , -Dhttp.proxyPort ?

• IDE - Кто-нибудь еще когда-либо видел, что либо обновление Eclipse работает, либо ваш код, который обращается к Интернету, работает, но НИКОГДА оба?

• Другое - VPN-клиенты, процессы фонового обновления, SSH, Xmarks (и другие плагины браузера) и т.д.

Поэтому мой вопрос таков: можете ли вы понять все это? Какое решение вы нашли, чтобы преодолеть ад прокси-сервера? Есть ли у вас несколько прокси-цепочек, как я пытался сделать? Я настроил приложения с различными комбинациями CNTLM, Direct, ISA, установщика прокси на системном уровне Windows: proxycfg, клиент брандмауэра Microsoft и т.д. Что вы сделали, чтобы преодолеть это?

Answer 1

Я бы сказал, что проблема в "всех окнах", особенно в ISA ... давайте рассмотрим первый пример:

Internet Explorer - ваши сотрудники службы технической поддержки принудительно устанавливают прокси-сервер ISA и исключения (которые вы не можете обновить) в настройках IE через групповую политику. Это работает безупречно, кроме случаев, когда это не так.

Точно ... * когда это не так уж редко "...

Я думаю, что главная проблема заключается в том, что компании, которые слишком привязаны к MS, боятся от нее уйти, или у них нет никого, способного это сделать ...

Лучшее ПО для прокси / кеша - IMHO SQUID! Также, если возможно, прокси может быть прозрачным, и вам не нужно устанавливать его в IE или других приложениях.

Теперь squid решает все проблемы? ну не просто так ... Одной из проблем будет снова аутентификация NTLM ... но Squid ACL решит эту проблему ... Например, вы можете настроить squid, чтобы разрешить неавторизованный доступ к обновлениям Windows и даже кэшировать его (не нужно для WSUS :)), то же самое для ваших антивирусных и Java-приложений ...

Конфиг, конечно, должен соответствовать сценарию, но squid действительно очень гибкий и надежный.

Но самой важной частью, возможно, будет "настройка прозрачного прокси".

Я советую вам настроить окно linux/unix на наличие вашего брандмауэра / шлюза по умолчанию (здесь вы можете использовать сервер OpenVPN для обработки VPN-подключений). Squid может быть в той же коробке или в другой, другая коробка всегда лучше.

Конечно, для этого требуются некоторые знания iptables (или вы можете использовать что-то вроде shorewall) или фильтра пакетов, или у вас все еще может быть ISA-бокс с настройкой OpenVPN и squid в другом окне, но зачем платить за дополнительные лицензии, и самое главное, зачем запускать сервер с графическим интерфейсом для брандмауэра, vpn или прокси / кеша ??? Но в любом случае это возможно.

ПРИМЕЧАНИЕ: я не пытаюсь сказать, что Windows полностью отстой и linux/unix намного лучше, я верю, что linux/unix лучше работает на серверах, но все еще трудно найти компании, желающие иметь свои настольные компьютеры без окон, в основном из-за офиса. Я хочу сказать, что в мире "серверов" они являются другим решением, частью от Microsoft, которое может стоить намного меньше или даже ничего (кроме времени на его установку)