• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C SecPath ACG1000系列应用控制网关 Web配置指导(R6614)-6W102

20-代理上网

本章节下载 20-代理上网  (875.52 KB)

20-代理上网


1 代理上网

1.1  概述

代理服务器是一种重要的服务器安全功能,主要工作在开放系统互联(OSI)模型的会话层或应用层,从而起到上网行为控制、提高访问速度以及保护内网安全等作用。在一般情况下,企业设置代理服务器一般都是基于以下几点原因考虑。当前代理功能支持HTTP代理、SOCKS4代理、SOCKS5代理三种方式。

代理服务器是一种重要的服务器安全功能,主要工作在开放系统互联(OSI)模型的会话层或应用层,从而起到上网行为控制、提高访问速度以及保护内网安全等作用。

在一般情况下,企业设置代理服务器一般都是基于以下几点原因考虑:

·              控制员工互联网使用:阻断与工作无关内容,提高工作效率;

·              保障隐私权益:某些代理服务器将更改Web请求包括的IP地址和其他标识信息,保护用户隐私。

·              节省带宽和提升访问速度:如果多次请求或者多个请求是同样的内容,可以跳过从真实服务器取数据的过程,而是直接从代理服务器缓存中获取,提升访问速度。

·              提高安全性:代理服务器支持配置加密Web请求,还可以阻止已知恶意软件站点通过代理服务器进行任何访问,保护企业内网安全。

·              访问被阻止资源:代理服务器允许用户规避公司或政府施加的内容限制(例如查找技术资料需要访问谷歌等境外网站)。

在隐私性和安全性要求较高的环境中,内网终端和服务器不允许和互联网直接通信,必须通过代理设备,保障上网终端的隐私安全,保障业务系统外联尤其是第三方业务互连的隐私安全,避免被攻击。

HTTP代理与SOCKS代理的区别:

·              HTTP代理:最简单的一种代理形式,能够代理客户机的HTTP访问,上网浏览网页使用的都是HTTP协议,通常的HTTP代理端口为80、3128或8080端口。

·              SOCKS代理:SOCKS代理与HTTP等其他类型的代理不同,它只是简单地传递数据包,而并不关心是何种应用协议,既可以是HTTP协议,也可以是FTP协议,或者其他任何协议,所以SOCKS代理服务器比其他类型的代理服务器速度要快得多。

·              SOCKS代理又分为SOCKS4和 SOCKS5,二者不同的是SOCKS4代理只支持TCP协议(即传输控制协议),而SOCKS5代理则既支持TCP协议又支持UDP协议(即用户数据包协议),还支持各种身份验证机制、服务器端远程域名解析等。SOCK4能做到的SOCKS5都可得到,但SOCKS5能够做到的SOCKS则不一定能做到。目前SOCKS5是最常用的一种SOCKS代理。

1.2  原理介绍

1.2.1  HTTP 代理工作原理

1. 普通代理

普通代理扮演的是“中间人”角色,对于连接到它的客户端来说,它是服务端;对于要连接的服务端来说,它是客户端。它就负责在两端之间来回传送HTTP报文。

HTTP客户端向代理发送请求报文,代理服务器需要正确地处理请求和连接,同时向服务器发送请求,并将收到的响应转发给客户端。

2. 隧道代理

隧道代理通过 HTTP 协议正文部分(Body)完成通讯,以 HTTP 的方式实现任意基于 TCP 的应用层协议代理。这种代理使用 HTTP 的 CONNECT 方法建立连接。

HTTP 客户端通过 CONNECT 方法请求隧道代理创建一条到达任意目的服务器和端口的 TCP 连接,并对客户端和服务器之间的后继数据进行盲转发。

1.2.2  SOCKS4/SOCKS5工作原理

SOCKS分为以下几个过程

(1)      认证协商

客户端首先向SOCKS服务器发送自己的协议版本号,以及支持的认证方法。SOCKS服务器向客户端返回协议版本号以及选定的认证方法。

(2)      认证

客户端根据服务器端选定的方法进行认证,如果选定的方法是02,则根据RFC 1929定义的方法进行认证。RFC 1929定义的密码是明文传输,安全性较差。

(3)      请求

SOCKS 5 协议请求方法又分如下三种:

·              Connect

比较常见的请求,客服端请求服务器发起链接到目标主机,目标端口的代理。SOCKS 服务器将使用目标主机,目标端口, 客户端的源地址和端口号来评估CONNECT 请求是否通过。成功之后后续流量都会被转发到目标主机的目标端口。

·              Bind

BIND 请求通常被用在那些要求目标主机连接客户端的情况。FTP 是一个典型的例子。它建立一个从客户端到服务器的连接来传送命令和状态,而使用另一个从服务器到客户端的连接来传输请求(如LS、GET、PUT)的数据。建立流程如下:

¡  Client随BIND请求,发送其要绑定的地址和端口。

¡  Server返回其创建的监听端口的地址和端口。

¡  Server创建的监听端口有连接后,返回该连接的源地址和端口。

¡  Server端将上述连接中的流量,发送给client的监听端口。

·              UDP ASSOCIATE

UDP ASSOCIATE 请求通常是要求建立一个 UDP 中继来处理到来的 UDP 数据包。DST.ADDR 和 DST.PORT 字段包含客户端所希望用来发送 UDP 数据包的 IP 地址和端口号。服务器可以使用这个信息来限制进入的连接。如果客户端在发送这个请求时没有地址和端口信息,客户端必须用全 0 来填充。

当与 UDP 相对应的 TCP 连接中断时,该 UDP 连接也必须中断。

1.3  应用代理功能配置

1.3.1  代理服务开启

在导航栏中选择“网络配置>基础网络>代理上网>代理服务”,进入代理服务配置页面,如图1-1所示,相关配置说明如表1-1所示。

图1-1 代理服务配置页面

 

表1-1 代理服务页面配置说明

项目

说明

启用HTTP代理勾选框

启用/禁用HTTP代理服务

代理端口

代理服务启用的端口,1025-65535,最多支持5个端口号,使用逗号隔开,不可重复,启用服务时必填

代理认证勾选框

启用/禁用代理用户认证功能,开启时用户使用代理需要输入用户密码进行验证,socks4代理无需认证。

已通过策略认证后不再认证勾选框

启用/禁用已通过策略认证后不再认证功能,即如果用户已通过认证策略认证,开启代理认证后无需再次认证,启用代理认证之后本功能才能启用。

启用socks4/socks5代理勾选框

启用/禁用socks4/socks5代理服务。

 

1.3.2  代理策略

在导航栏中选择“网络配置>基础网络>代理上网>代理策略”,进入代理策略显示页面,如下图所示。

图1-2 代理策略显示页面

 

表1-2 代理策略页面操作说明

项目

说明

新建

单击新建代理策略,可选择创建HTTP、SOCKS4、SOCKS5代理策略。

删除

删除选中的代理策略。

查询

查询代理策略,根据过滤条件对策略进行过滤。

启用

启用代理策略,代理策略启用后开始生效,状态为

禁用

禁用代理策略

优先级

调整代理策略优先级顺序

匹配次数清零

将制定代理策略的匹配次数清零

默认规则

对未匹配中任何策略的代理流量执行的动作

 

将鼠标移动到“新建”,在下拉菜单中选择“HTTP”,进入HTTP代理配置页面,如图1-3所示。

图1-3 新建HTTP代理

 

同样的步骤可以新建socks4/socks5代理。

表1-3 HTTP代理配置说明

项目

说明

启用

启用/禁用代理策略

名称

代理策略名称

描述

策略描述

源地址

匹配策略的源地址

目的域名

匹配策略的目的地址或者域名

动作

策略执行动作

 

1.4  应用代理配置举例

1.4.1  组网需求

图1-4所示,某公司内网研发、销售、行政部门的IP地址网段分别为10.1.0.0/16、10.2.0.0/16、10.3.0.0/16,设备以路由模式部署在网络中,内网用户通过设备ge0口出去访问外网。使用代理功能对研发网络进行控制,允许研发网络通过代理上网,只能访问指定网站。

图1-4 应用代理组网图

 

1.4.2  配置步骤

1. 设备网络基础配置,配置接口地址、路由、NAT策略。

(1)      进入“网络配置>接口配置>物理接口”页面,配置物理接口地址。

图1-5 配置物理接口地址

 

(2)      进入“网络配置>接口配置>路由管理>静态路由”页面,配置静态路由。

图1-6 配置静态路由

 

(3)      进入“策略配置>NAT转换策略>源NAT”页面,配置源NAT。

图1-7 配置源NAT

 

2. 配置控制策略,只允许10.1.1.1、10.2.0.0、10.3.0.0访问外网。

(1)      进入“策略配置>对象管理>地址对象”,点击<新建>按钮,配置地址对象。

图1-8 配置地址对象

 

(2)      进入“策略配置>控制策略”,点击<新建>按钮,新建一条控制策略,动作为允许,源地址选择已配置的地址对象“10.1.1.1”。

图1-9 配置控制策略

 

3. 开启设备代理,配置设备的代理策略,只允许访问指定网站。

(1)      进入“网络配置>基础网络>代理上网>代理服务”页面,开启代理服务并配置代理端口,如下图所示。

图1-10 配置代理服务

 

(2)      新建HTTP代理。进入“网络配置>基础网络>代理上网>代理策略”页面,点击“新建>HTTP”,进入HTTP代理配置页面,点击“选择地址对象”选择地址对象,如下图所示。

图1-11 选择地址对象

 

目的域名选择“指定”,并配置目的域名,动作配置为“允许”,如下图所示。

图1-12 配置目的域名

 

点击“提交”完成HTTP代理配置,配置完成后如下图所示。

图1-13 代理策略配置完成

 

(3)      新建SOCKS4、SOCKS5代理。进入“网络配置>基础网络>代理上网>代理策略”页面,点击“新建>SOCKS4”新建SOCKS4代理,点击“新建>SOCKS5”新建SOCKS5代理,配置完成后如下图所示。

图1-14 新建SOCKS、SOCKS5代理

 

4. 用户客户端上配置代理地址,通过代理上网。

 

说明

客户端可以用多种设置代理的方式,如:应用软件自带、系统自带、第三方代理软件,此处以Windows10系统自带的代理为例进行设置。

 

(1)      打开Windows设置,选择“代理服务器设置”,如下图所示。

图1-15 Windows10系统自带代理设置

(2)      手动设置代理,开启“使用代理服务器”,配置代理服务器的地址、端口,如下图所示。

图1-16 设置代理服务器

 

(3)      Microsoft edge或者Google Chorme浏览器默认使用的是系统代理,火狐浏览器可以选中设置使用系统代理或者自带设置代理,如下图所示。

图1-17 火狐浏览器连接设置

1.4.3  验证配置

1. 用户使用http代理打开百度。

(1)      用户PC访问百度时,弹出认证页面,如图1-18所示;通过认证后代理用户上线,进入在线用户页面可以查看在线用户记录,如图1-19所示。

图1-18 代理用户认证

 

图1-19 代理用户上线

(2)      在用户PC上抓包查看,如图1-20所示,用户访问百度是直接向代理地址发请求,而不是通常的直接向目的地址发请求。

图1-20 用户PC抓包记录

 

(3)      进入“网络配置>基础网络>代理上网>代理策略”,可以查看代理策略的匹配次数,如下图所示。

图1-21 代理策略匹配次数

 

2. 访问www.hao123.com。

因为代理策略配置只允许目的地址为baidu,所以被代理直接中断连接,如下图所示。

图1-22 代理中断连接

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们