Geekfault

Proxies filtrants

Si le responsable du réseau est un pratiquant du FLOSS il utilisera très certainement une solution à base de proxies filtrants tels que Privoxy, Squid ou encore Polipo (je vous conseille l’excellent article de bragon).

Fonctionnement générique d’un proxy filtrant

Nous sommes toujours dans notre scénario d’une visite de courtoisie sur Geekfault.

1. La première étape pour afficher la page d’accueil de Geekfault est la résolution du nom de domaine en adresse IP par un DNS externe (configuration par défaut des navigateurs et des proxies communs) :
   
2. Une connexion INdirecte sur la machine par HTTP permet de récupérer le fichier index (typiquement index.php) à travers un proxy:
3. Le navigateur lit cette page pour établir la liste des fichiers à télécharger en plus (js,png,css, …) et la liste des éléments externes au site (dont ceux des web-espions). Les éléments externes doivent d’abord être recherchés par leur adresse IP toujours avec un DNS externe :
   
4. Le navigateur télécharge et traite les fichiers présents sur le serveur de Geekfault :
   
5. En même temps que l’étape 4, le navigateur tente de télécharger les éléments tiers, mais le proxy filtrant l’en empêchera.

Qu’en conclure ?

Le proxy filtrant est la solution généralement la plus efficace. Les filtres à base d’expression régulières permettent un action chirurgicale sans égal, la contrepartie est que pour proxifier une centaine de poste client la machine doit être correctement dimensionnée.
Comme nous le rappelle khemael le proxy transparent çaymal® mais c’est le prix à payer pour protéger les terminaux qui ne proposent pas de réglages relatifs au proxy (au hasard une TV…).
Le dernier inconvénient est que les systèmes espions ne communiquent pas tous sur HTTP.

Les avantages l’emportant largement sur les inconvénients, la popularité de ce système est facilement compréhensible. Néanmoins il existe une autre approche basée sur les DNS menteurs que nous allons aborder dans le prochain chapitre.