Intégration proxy en interception

Un proxy est dit en interception quand les navigateurs clients ne sont pas configurés pour envoyer les requêtes vers le proxy : les flux sont interceptés et redirigés vers le proxy.

Le proxy en interception correspond au proxy "transparent" dans la version 5 d'Olfeo.

Contraintes, limitations, avantages

Une intégration proxy en interception peut être réalisée avec une version logicielle d'Olfeo ou une Olfeo box.
Seules les méthodes d'identification gérées par le moteur de filtrage sont compatibles avec une intégration proxy en interception : voir Authentification et type d'intégration.
Aucun paramétrage n'est nécessaire au niveau des postes clients.

Proxy en interception et déchiffrement SSL

Avec le déchiffrement SSL, les flux HTTP et HTTPS doivent arriver sur 2 ports différents. En effet, un port effectuant du déchiffrement SSL ne traitera pas correctement les requêtes HTTP.
Avec un proxy en interception, sans déchiffrement SSL, le filtrage d'URL n'est possible que si la résolution DNS inverse est activée. En effet, par défaut l'Olfeo ne voit que les adresses IP de destination des requêtes et non les noms de domaine (car il ne voit que l'établissement de la session TLS et non le contenu de la session elle-même). Cela est visible dans les statistiques et à la page du trafic temps réel, dans la colonne Domaine.

Fonctionnalités compatibles

L'intégration proxy en interception est compatible avec toutes les fonctionnalités.

Fonctionnement

Dans le cas du proxy en interception, le client envoie la requête vers le serveur distant et non vers le proxy, cependant celle-ci est interceptée et redirigée vers le proxy. Une fois la requête redirigée, le serveur distant voit que la requête provient d'un proxy, et lorsque le client reçoit la réponse, il voit également qu'elle provient d'un proxy :

Le client émet une requête en direction du serveur distant.
La requête est interceptée et redirigée vers le proxy par un équipement tiers (firewall ou routeur). Si l'Olfeo est une box en coupure, celle-ci fait l'interception et la redirection elle-même (la box est alors à la fois en intégration coupure et proxy en interception).
Le proxy établit une connexion avec le serveur distant en incluant des en-têtes spécifiques au proxy. Le serveur distant voit donc que la requête vient d'un proxy.
Le serveur envoie la réponse au proxy.
Le proxy transmet la réponse au client en incluant des en-têtes spécifiques au proxy : le client voit que la réponse est passée par un proxy.

Ce n'est pas un proxy explicite car le client n'envoie pas la requête explicitement au proxy avec pour mission de la transmettre au serveur distant. Ce n'est pas un proxy transparent non plus puisque le serveur distant et le client voient que la requête est passée par un proxy.

Réaliser une intégration proxy en interception

Dans l'Olfeo, mettez le proxy en interception sur le ou les ports désirés :
1. Rendez-vous à la page de configuration du proxy (Proxy Cache QoS > HTTP > Configuration).
2. Dans la section Ports en écoute, pour le ou les ports désirés, cochez la case Interception. Attention, si vous faites du déchiffrement SSL, les flux HTTP et les flux HTTPS doivent arriver sur 2 ports différents. En effet, un port effectuant du déchiffrement SSL ne traitera pas correctement les requêtes HTTP.
Mettez en place la redirection des flux vers l'Olfeo :
- Pour une version logicielle d'Olfeo, la redirection doit être configurée sur le firewall ou le routeur situé avant l'Olfeo : référez-vous à la documentation de votre équipement. Attention à définir les redirections pour les flux HTTP et pour les flux HTTPS.
  Vous devez également configurer les redirections sur le firewall ou le routeur si vous souhaitez faire de l'interception sur une interface d'une Olfeo box (qui n'est donc pas un bridge en coupure).
- Sur une Olfeo box, pour combiner intégration en coupure et proxy en interception : à la page Paramétrage > Réseau > Bridges, renseignez les champs suivants, pour les flux HTTP et HTTPS :
  - Ports redirigés : les flux en direction de ces ports seront redirigés vers le Port de redirection. Vous pouvez entrer plusieurs valeurs séparées par des virgules. Les flux à destination de tout port non spécifié ici ne seront pas redirigés vers le proxy : ils seront envoyés directement au moteur de filtrage.
  - Port de redirection : le port du proxy vers lequel effectuer la redirection. La liste propose tous les ports du proxy pour lesquels la case Interception est cochée (pour la redirection HTTPS, tous les ports pour lesquels les cases Interception et Option SSL sont cochées).