Satır içi vekili dağıtma

Model sağlayıcılarına giden tarayıcı trafiği için güvenli web ağ geçidini CID222 yapın. İletme vekili konteynerini başlatır, ürettiği sertifika otoritesini dağıtır, yönetilen tarayıcıları ona yönlendirir ve kişisel veri içeren bir istemin ağdan çıkmadan maskelendiğini ya da reddedildiğini doğrularsınız.

Vekil, oturumun şifresini ilk başlangıçta ürettiği bir sertifika otoritesiyle çözer. Trafiğini yakaladığı her istemcinin o otoriteye güvenmesi gerekir; aksi hâlde tarayıcı bağlantıyı bir sertifika hatasıyla reddeder. Otoriteyi dağıtmak isteğe bağlı bir sıkılaştırma adımı değildir; dağıtımın kendisidir.

Vekili başlatın ve sertifika otoritesini yayımlayın

docker compose --profile inline-proxy up -d cid-inline-proxy

[cid-inline-proxy] CA generated at /root/.mitmproxy/mitmproxy-ca-cert.pem
[cid-inline-proxy] HTTPS explicit proxy: regular/direct (listen :8443)
[cid-inline-proxy] starting mitmdump regular@8443 + transparent@8084

Sertifika otoritesini istemcilere dağıtın

Trafiği vekil üzerinden yönlendirin

Denetim politikasını ayarlayın

Gerçekte ne denetlenir

Vekil, etkin bir ana bilgisayardan gelen her şeyi denetlemez. Konuşma ve yükleme uç noktalarından oluşan katı bir izin listesiyle eşleşir — ChatGPT, OpenAI API, GitHub Copilot sohbeti, Claude, Gemini, DeepSeek, Qwen, Poe ve Character.ai'yi kapsayan on beş kural — ve o ana bilgisayarlardan gelen diğer her şeyi dokunmadan iletir. Tek bir sayfa yüklemesi betikler, yazı tipleri ve telemetri için düzinelerce istek üretir; bunların hiçbiri bir istem taşımaz ve bunları denetlemek hem gecikme hem yanlış pozitif üretmiştir.

İlk destek çağrısından önce söylenmeye değer üç sonuç vardır:

• Listede olmayan bir sağlayıcı denetlenmez — ana bilgisayar adı vekile yönlendirilmiş olsa bile. Yeni ön yüzler için kural gerekir.
• Büyük gövdeler engellenmez, atlanır. 512 KB üzerindeki metin gövdeleri ve 25 MB üzerindeki ikili gövdeler denetlenmeden iletilir.
• Parçalanmış yüklemeler reddedilir. Parçalı ya da sürdürülebilir bir yükleme parça parça denetlenemez; bu yüzden CID_RESUMABLE_UPLOAD_POLICY varsayılanı block değerindedir ve tarayıcı başarısız bir yükleme görür. Bunu passthrough yapmak, dosyanın sağlayıcıya maskelenmeden ulaştığı eski davranışı geri getirir.

Doğrulama

1. Yönetilen bir iş istasyonundan etkin ana bilgisayar adlarından birini açın. Sayfa sertifika uyarısı olmadan yüklenir ve tarayıcının bildirdiği sertifikayı, sağlayıcının kendisi değil CID222 vekil otoritesi düzenlemiştir.
2. Politikada olmayan bir ana bilgisayar adına göz atın. Sertifikası gerçek olanıdır; bu da o sitenin şifresinin çözülmediğini kanıtlar.
3. Aynı oturumda, tanınabilir bir test değeri içeren bir istem gönderin — örneğin 4111 1111 1111 1111 gibi sahte bir kart numarası. Kuralın eylemine bağlı olarak sağlayıcı değeri maskelenmiş alır ya da tarayıcı, X-Blocked-By: cid-core başlığını taşıyan Request blocked (istek engellendi) sayfasını gösterir.
4. Tespit ve Filtreleme → Tüm Tespitler ekranını seçin ve kaynağı tarayıcı trafiğine göre süzün. Deneme saniyeler içinde MESSAGE_MASKED ya da MESSAGE_BLOCKED olarak; ana bilgisayar adı, kaynak adresi ve gerekçeleriyle birlikte görünür.
5. Etkin bir sağlayıcıya, okunabilir kişisel veri içeren bir görsel yükleyin. FILE_UPLOAD_REDACTED olayı görünür ve model alanları karartılmış olarak tanımlar. Buradaki gerçek ölçüt modelin söyledikleridir — tarayıcıdaki küçük resim her zaman sizin yerel özgününüzdür.

Başarısız olursa

• Tarayıcı yakalanan her sitede sertifika otoritesi hatası gösteriyor → otorite o makinenin güven deposunda değildir. certutil -store Root | findstr cid222 ile doğrulayın, sonra bir ilke yenilemesini zorlayın.
• Otorite kurulu ve uyarılar sürüyor → cihaz sıfırlanmış ve otoriteyi yeniden üretmiştir. Paneldeki parmak izi artık dağıtılanla eşleşmez; yeniden indirip yeniden dağıtın.
• Otomatik yapılandırma URL'sine erişiliyor ama hiçbir şey vekilden geçmiyor → vekil ayarı tarayıcıya ulaşmamıştır. İlke tercihinin uygulandığını ve betiğin duyurduğu port olan INLINE_PROXY_PUBLIC_PORT ile vekilin dinlediği port olan INLINE_PROXY_HTTPS_PORT değerlerinin eşleştiğini denetleyin. Bunlar farklı olduğunda tarayıcılar başka bir yere bağlanır ve hiçbir yerde hata görünmez.
• Olaylar geliyor ama panel konteyneri çalışmıyor gösteriyor → Bir hizmet sağlıksız.
• Yüklemeler maskeleme olayı olmadan başarısız oluyor → dosya baytlarını taşıyan ana bilgisayar Enabled hostnames listesinde yoktur. Yükleme ana bilgisayarları konuşma ana bilgisayarlarından ayrıdır.

Sonraki adımlar

• ICAP ve üçüncü taraf ağ geçitleri — müşteri zaten bir güvenli web ağ geçidi çalıştırdığında geçerli olan seçenek ve laboratuvarda doğrulanmış sağlayıcıya sahip tek yol.
• Yakalama topolojileri — bu dağıtımın neyi göremediği; bir güvenlik yetkilisine verilecek kadar açık biçimde.
• Ağ önkoşulları — bu dağıtımın açtığı portlar ve bunları değiştiren değişkenler.