Прокси выхода пользователей: когда нужен и что писать в журнал
Поставьте один выход пользователей в интернет и пишите, кто куда ходил: без этого вы не отличите рабочий сайт от неизвестного сервиса с выгрузкой. Гостевой Wi-Fi в интернет без журнала учёток — другая зона: гостевой Wi-Fi. Куда станция ходит за именем — свои резолверы. Обзор «какой NGFW купить» не пишем.
Статья опирается на логику направления «Сетевая безопасность» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 9 закрывает веб как канал вместе с почтой: cisecurity.org/controls. Это не российский закон. Прокси ставится в своей сети; чужие сайты не сканируйте.
Когда нужен, когда нет
| Ситуация | Решение |
|---|---|
| Нужен журнал «учётка → узел назначения» и запрет категорий | Один явный прокси или облачный защищённый веб-шлюз |
| Пять человек, выход уже через облачную почту и один SaaS | Можно отложить: хватит NAT и своих резолверов плюс перечень сайтов |
| Серверы ходят за обновлениями | Отдельный выход по списку, не пользовательский прокси |
| Гости в кафе офиса | Им не корпоративный прокси: гостевая сеть |
Прокси использует тот же корпоративный резолвер, что станции. Иначе журнал имён разъедется с DNS.
Что писать в журнал
| Поле | Писать | Не писать |
|---|---|---|
| Кто | Учётка или адрес станции | — |
| Куда | Схема, узел, порт, код ответа, объём | Строка запроса с токеном, тело POST, пароль |
| Решение | Пропущено / запрещено / категория | Полный HTML страницы |
Срок и куда складывать — в политике, не новый выдуманный: политика журналирования. Персональные данные в URL режьте на шлюзе, не «потом в SIEM».
Закрыть обход
С пользовательского VLAN порты 80 и 443 только на адрес прокси. Пример для nftables, документационный адрес 192.0.2.80:
table inet userproxy {
chain forward {
type filter hook forward priority -5; policy accept;
iifname "vlan10" tcp dport { 80, 443 } ip daddr != 192.0.2.80 drop
}
}sudo nft -c -f /etc/nftables.d/userproxy.nftОжидаемо: тишина без ошибки синтаксиса. Применяйте из консоли или сегмента управления: сегмент администрирования. Риск: отрежете интернет себе, если сидите в vlan10. Не вторая таблица с policy drop на весь forward.
Со своей станции через прокси:
curl -x http://192.0.2.80:3128 -I https://example.comОжидаемо: заголовки ответа, не отказ соединения. Без -x с той же станции прямой 443 наружу не проходит, если правило выше применено. Станции получают адрес прокси политикой браузера или GPO, не «каждый вписал сам»: GPO и Ansible.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Журнал пустой, интернет есть | Ходят в обход. Закройте 80/443 мимо прокси |
| В логе токены из URL | Пишете query. Оставьте узел и путь без строки параметров |
| Серверы не обновляются | Их задели тем же правилом. Вынесите выход обновлений |
| Гость спрашивает пароль прокси | Отдали корпоративный PAC. У гостя его быть не должно |
Где это в модели зрелости
Материал относится к направлению «Сетевая безопасность» (хаб: сеть, карта: карта зрелости). Сегментация рисует «выход через прокси». Без журнала учётки и запрета обхода это NAT. Почта входит другим каналом: почтовый шлюз.
Как проверить
- С пользовательской сети 80/443 наружу только на адрес прокси.
- В журнале есть учётка, узел назначения и решение за последний рабочий день.
- В выборке журнала нет паролей и тел карт.
curl -xсо своей станции проходит, прямой выход — нет.- Это не гостевой Wi-Fi, не dig SPF и не витрина NGFW.
Источники
- CIS Control 9: cisecurity.org/controls.
