Использование резервирования соединений через HTTP-прокси с функцией автоматического входа on Infrascope

Заголовок запроса X-Forwarded-For

Mon, 01 Jan 0001 00:00:00 +0000

Заголовок запроса X-Forwarded-For (XFF) - это стандартный заголовок де-факто для идентификации IP-адреса клиента, подключающегося к веб-серверу через прокси-сервер.

Когда клиент подключается к серверу напрямую, IP-адрес клиента передается на сервер (и часто записывается в журналы доступа сервера). Но если клиентское соединение проходит через прямые или обратные прокси-серверы, сервер видит только IP-адрес конечного прокси-сервера, который зачастую малополезен. Поэтому, чтобы предоставить серверу более полезный IP-адрес клиента, используется заголовок запроса X-Forwarded- For.

HTTP Proxy может понимать и разбирать соответствующие заголовки, однако существует необходимость добавления HTTP-заголовка X-Forwarded-For к пакетам, которые были отправлены клиентом. Обычно этим процессом занимаются балансировщики нагрузки.

Защита от брутфорс-атаки

Mon, 01 Jan 0001 00:00:00 +0000

Для защиты от атак методом подбора паролей можно ограничить попытки аутентификации пользователя на HTTP Proxy с помощью следующих параметров:
http.proxy.max.failed.logins
http.proxy.max.failed.login.wait.seconds

Необходимо установить вышеуказанные параметры с нужными значениями в файле u01/http-proxy/conf/http_proxy.properties. Присвоенные значения определяют, когда и как долго IP-адрес будет блокироваться, если попытки аутентификации с того же IP- адреса не увенчались успехом.

http.proxy.max.failed.logins: Максимальное количество неудачных попыток входа для блокировки IP клиента. Клиент может попытаться аутентифицироваться снова после истечения http.proxy.max.failed.login.wait.seconds. По умолчанию равно 10.

Пропускной режим

Mon, 01 Jan 0001 00:00:00 +0000

Для эффективного использования HTTP Proxy должны быть определены группы устройств и пользователей, а также сделаны необходимые определения политики. После этих настроек конечные пользователи смогут получить доступ только к тем веб- страницам и под-адресам, к которым им разрешен доступ. Неопределенные веб- страницы будут недоступны для конечных пользователей.

Благодаря этой функции конечные пользователи продолжают получать доступ ко всему, что правила внутренней сети позволяли раньше, не подчиняясь никаким политикам и правилам через HTTP Proxy. Однако, поскольку весь трафик будет проходить через HTTP Proxy, весь трафик будет регистрироваться. Таким образом, будет получена аналитика поведения конечных пользователей, проанализированы и внедрены правильные политики.

Обход вмешательства в сертификат

Mon, 01 Jan 0001 00:00:00 +0000

В некоторых случаях может потребоваться обойти подход к применению политики HTTP Proxy. В этих случаях HTTP Proxy может использоваться только для регистрации трафика.

Для включения этой функции домены, которые необходимо обойти, должны быть добавлены в параметр http.proxy.passthrough.domains. Несколько доменов должны быть разделены запятыми, можно использовать регулярное истечение. Этот параметр можно найти в файле /u01/http-proxy/conf/http_proxy.properties

Благодаря этой функции HTTP Proxy не будет вмешиваться в SSL-трафик при доступе к определенным доменам. Трафик будет передаваться и регистрироваться только между веб-сервером и клиентом, не будучи тронутым.

Таймаут сессии

Mon, 01 Jan 0001 00:00:00 +0000

http.proxy.session.timeout.seconds

Определяет, через какое время бездействия будет прекращена сессия HTTP Proxy. Значение по умолчанию - 300 секунд.

Должен ли текущий сеанс сохраняться при посещении обходных доменов. Если установлено значение true, таймаут текущего сеанса пользователя будет сброшен. По умолчанию установлено значение false.

http.proxy.session.keep.alive.on.bypass.domains=false