Как поиски DNS работают при использовании Прокси HTTP (или не) в IE

Я не уверен, что Ваша часть DNS является правильной. Я видел, что машина без допустимых серверов DNS выбирает страницы в IE прекрасное использование прокси.

Я пробую в человечности 10.04, вине, IE 6.0 и сквид 2.7 (система имеют один DNS, и сквид имеют другой сервер DNS),

1. Пользователь отправляет запросы для проксирования
2. Сквид отправляет запрос DNS на сервер DNS
3. Сквид получает ответ DNS. Если nxdomain или другая ошибка, отправьте ошибочную страницу в IE. Если твердость имени, выберите страницу и дайте ее IE.

IE 6.0 не разрешает имя DNS.

Я не думаю, что это - если Вы введете в IP и домен в списке исключений, или домен, и IP находится в списке исключений, то это, вероятно, все еще пойдет через прокси.

Возможно, что proxy.pac/wpad.dat позволил бы Вам пробиться из этого поведения.

Не совсем: это зависит от того, как настроен клиент. Давайте использовать IE в качестве базового примера.

Если вы настраиваете IE с явным прокси: например, никакие другие опции не отмечены, прокси-сервер установлен на что-то: 8080.

1. Пользователь вводит адрес

2. IE проверяет адрес на соответствие строки списку исключений прокси IE (т.е. «Обход прокси для этих адресов:»)

   a. Если он соответствует записи в списке Обход , клиент использует свой собственный DNS для разрешения имени, а затем ] клиент подключается напрямую к целевому IP-адресу через порт 80 (предполагается), затем отправляет запрос типа:

   GET /something.htm HTTP / 1.1
Хост: fulldomainame.example.com

   b .

   1. Пользователь вводит адрес

   2. Клиент загружает текущий файл wpad.dat / autoproxy.js / .pac из его настроенного местоположения

   3. Клиент ищет функцию " FindProxyForUrl »в js-файле и выполняет его

   4. Сценарий Autoproxy обрабатывает имя хоста и URL . Это файл javascript с ограниченными функциями, но многое еще возможно:

      a. это может включать разрешение имен (IsInNet, DnsResolve)

      b. это может включать сопоставление строк (ShExpMatch)

      c. это может включать счет до миллиона (i ++)

      d. это может включать всплывающие сообщения о назойливости , если администратор sa jerk

      • (или просто смешно)
      • ((или отладка))

   5. Функция FindProxyForUrl возвращает хотя бы одну строку : упорядоченный список лучших прокси для использования ( через точку с запятой)

      a. либо "DIRECT" , и в этом случае клиенту необходимо разрешить само имя и подключиться напрямую, как описано выше в случае обхода

      b. или «PROXY proxyname: 8080» или аналогичный, и в этом случае клиент подключается к этому порту на этом прокси, сообщает ему ПОЛУЧИТЬ полный URL , и прокси выполняет разрешение имен .

      • В качестве примера : если функция сценария вернула «ПРОКСИ yourProxy: 8080; DIRECT» Обратите внимание , что сбой установки сеанса TCP происходит не совсем быстро, поэтому для пользователя это вряд ли будет приятным процессом переключения при сбое, но ничего не превосходит. Может быть.

   Иногда случаются сбои, тонкости и необъяснимое поведение, но по большей части, когда что-то не ломается странным и интересным образом, я видел выше, как это работает на протяжении многих лет. Новые браузеры оптимизируют поведение, распараллеливают вещи и все время пробуют интересные вещи, поэтому ознакомьтесь с последней документацией для вашего браузера, чтобы понять мелкие детали.

   WinSock Proxy / ISA Firewall Client / TMG Client :

   Если вас интересует Winsock Proxy Client (из TMG / ISA Server), это совсем другая история, с большей гибкостью и подвижными частями. Слишком много, чтобы вдаваться в подробности, но есть документы, в которых описывается, как это работает. Вкратце: он подключается к сокетам Windows и может перехватывать как трафик на основе TCP / UDP, так и запросы разрешения имен для отдельных приложений и пользователей. Очень мощный, но также устаревший и не обновлявшийся несколько лет.

   Клиенты могут быть действительно цепляющими:

   Одно последнее примечание : однажды HTTP-клиент решил поговорить с прокси-сервер для данного сайта / URL-адреса, прокси-сервер не может запретить .

   Нет кода состояния HTTP или заголовка для «Я этого не обслуживаю, вы должны просто перейти к нему напрямую» ...

   Как только клиент решает, что конкретный URL-адрес обслуживается прокси, прокси-смерть-хватка следует.

   Единственный способ избежать этого - получить логику выбора прямо перед тем, как клиент установит соединение, в списке PAC или Bypass.

   Последнее замечание о файлах Zones и PAC

   IE рассматривает сайты, которые ПРЯМО подключены, даже если они имеют точки в URL-адресе, как часть локального Зона интрасети (по умолчанию - настраивается в свойствах зоны), и поэтому будет делать такие вещи, как разрешение встроенной проверки подлинности Windows для этих сайтов (например, проверка подлинности Kerberos и / или NTLM, прозрачно). Таким образом, контроль того, находится ли что-то в зоне локальной интрасети, определяет степень доверия к нему с точки зрения автоматической аутентификации. Опять же, по крайней мере, по умолчанию.

   и так будет делать такие вещи, как разрешение встроенной проверки подлинности Windows на эти сайты (например, проверка подлинности Kerberos и / или NTLM, прозрачно). Таким образом, контроль того, находится ли что-либо в зоне локальной интрасети, определяет степень доверия к нему с точки зрения автоматической аутентификации. Опять же, по крайней мере, по умолчанию.
   и так будет делать такие вещи, как разрешение встроенной проверки подлинности Windows для этих сайтов (например, проверка подлинности Kerberos и / или NTLM, прозрачно). Таким образом, контроль того, находится ли что-либо в зоне локальной интрасети, определяет степень доверия к нему с точки зрения автоматической аутентификации. Опять же, по крайней мере, по умолчанию.