FGT1-08-显式代理.pptxVIP

FortiGate I显式代理FortiGate 5.2.1什么是web代理?ClientHTTP ProxyServerConnection 1Connection 2代理把用户的访问请求转发给网站可能会缓存很多响应包代理可以使用缓存中的内容来响应客户端请求，而无需转发给网站2个TCP连接从client 到 proxy从proxy 到 server隐式(透明)代理Client sends request to server IP + port, not proxy, but proxy intercepts0:80:80Request sent to 0:80 on behalf of Request sent to 0:80客户端无需更改配置请求包依然发送给服务器的IP地址，而不是发给代理隐式代理拦截请求报文，尽管报文的目的IP地址不是代理上的代理监听80端口和443端口显式代理Client sends request to proxy IP + port, not server:80800:80Connection 1Connection 2Request sent to 0:80Request sent to :8080客户端把请求包发送给代理的IP+端口，而不是直接发送给网站客户端必须配置显式代理代理监听设备自身的IP+端口号通常是8080端口或4443端口怎样配置浏览器为了实现显式代理，需要对浏览器进行配置3种方法浏览器设置PAC文件（Proxy automatic configuration）Web代理自动发现协议web proxy autodiscovery protocol (WPAD)浏览器代理设置手动配置代理IP地址和一个端口号可配置一些例外这些例外的目的地址，浏览器不会发送给代理Proxy Automatic Configuration (PAC)支持多个代理定义了浏览器如何选择一个代理通常存储在某一个代理商指定了哪些流量发送给哪个代理通过PAC文件的URL配置浏览器默认情况下，FortiGate把PAC文件存储在http://FortiGate_IP:Port/proxy.pacPAC文件举例Connections to any subdomain/URL/port number of don’t use the proxy任何到这个URL子域的连接都不使用代理到/24的访问使用 :8080这个代理其他流量全部使用 :8080function FindProxyForURL(url, host) { if (shExpMatch(url,*./*)) { return DIRECT;} if (shExpMatch(url, *.:*/*)) { return DIRECT;} if (isInNet(host, , )) { return PROXY :8080; } return PROXY :8080; DIRECT;}Web Proxy Auto-discovery Protocol (WPAD)浏览器查找PAC文件2种方法DHCP查询DNS查询通常情况下，浏览器优先使用DHCP如果失败，再使用DNS查询但有些浏览器只支持DNS方式WPAD DHCP方式DHCP Server2Web ServerFortiGate w/ PAC File134浏览器向DHCP server发起查询 (DHCPINFORM)回复PAC文件的URL浏览器下载PAC文件浏览器通过代理访问网页WPAD DNS方式DNS Server2Web ServerFortiGate w/ PAC File134浏览器向DNS服务器解析wpad.local-domain回复PAC文件的URLhttp://pac-server:80/wpad.dat浏览器下载PAC文件浏览器通过代理访问网页代理的Web缓存代理可以提供缓存功能不同型号的设备支持的情况不一样当第一个请求到达时，代理会缓存一份网页的静态内容当请求同样内容时，客户端接收到的是缓存中的内容配置缓存可以：提高广域网的带宽使用率减轻了服务器的负载压力提高网页的响应能力web缓存 Part 1Response in cache? No.First RequestFirst RequestContentContent对于第一个请求，回应报文还不在缓存中代理：从服务器上获取内容如果内容不是动态变化的，则可以存储在内存中向客户端转发这些内容Web缓存 Part 2Response in cache? Yes.Second RequestContentContent后续的请求，其回应报文通常都已经在缓存中代理把缓存中的内容转发给客户端不再从服务器下载内容动态内容是一个例外，由于经常