CID222'nin trafik yolunda durabileceği altı yer; her birinin ne gördüğü, neyi göremediği ve aralarında nasıl seçim yapılacağı.

Trafik ticari bir modele üç ayrı yoldan ulaşır — bir API'yi çağıran bir uygulama, bir sağlayıcının web uygulamasıyla konuşan bir tarayıcı ve kendi protokolünü konuşan bir masaüstü aracı — ve her biri farklı bir yerde sonlanır. CID222 altı yakalama noktası sunar. Hangisini dağıttığınız neyin görüneceğine karar verir; bu seçimin akış aşağısındaki hiçbir şey, yakalama noktasının hiç görmediği trafiği geri getiremez.

Sorun

TLS işini yapıyor. Bir çalışan tarayıcıda bir sağlayıcının web sitesini açtığında, tarayıcı sağlayıcıyla doğrudan şifreli bir oturum anlaşması yapar ve yol üzerindeki her cihaz şifreli metin görür. Bu içeriği okumanın tam olarak iki yolu vardır: istemcinin bilerek konuştuğu uç nokta olmak ya da oturumun şifresini, istemcinin zaten güvendiği bir sertifika otoritesiyle çözmek. Aşağıdaki her şey bu ikisinden biridir.

Dağıtımların çoğuna karar veren ayrım, ters vekil — trafik sizin sahip olduğunuz bir ada gelir ve meşru hedef sizsinizdir — ile iletme vekili — trafik, bir başkasının sahip olduğu bir ada giderken içinizden geçer — arasındaki farktır. CID222'yi kendi uygulamanızın önüne koymak birincisidir. Bir tarayıcının bir sağlayıcının web sitesine gidişini görmek ikincisidir ve ya kendi şifre çözen vekilinizi, ya zaten şifre çözen bir ağ geçidini ya da cihaz üzerinde yazılım gerektirir.

CID222 bunu nasıl yapar

Yakalama noktası	Taşıdığı trafik	Şifreyi kim çözer	İstemcide ne gerekir
API ağ geçidi	Sağlayıcı yerine CID222'yi çağıran uygulamalar ve betikler	Kendi adı için CID222	Temel URL değişikliği ve bir ağ geçidi anahtarı
Satır içi vekil	Denetim politikasındaki sağlayıcı ana bilgisayar adlarına giden tarayıcı trafiği	CID222'nin kendi vekil sertifika otoritesi	Güven deposunda o otorite ve bir vekil ayarı ya da güvenlik duvarı yönlendirmesi
ICAP üzerinden üçüncü taraf ağ geçidi	Müşterinin güvenli web ağ geçidinin zaten şifresini çözdüğü her şey	Ağ geçidi	Yeni bir şey yok — ağ geçidinin kendi otoritesi zaten kuruludur
Uç nokta ajanı	Sistem vekilini yok sayan masaüstü araçları dâhil, iş istasyonundan çıkan trafik	Cihaz başına kendi ürettiği ve kendisi kurduğu bir sertifika otoritesiyle ajan	Ajan
Tarayıcı eklentisi	Kullanıcının yönetilen tarayıcıda yazdıkları ve yükledikleri	Hiç kimse — eklenti içeriği şifrelenmeden önce okur	Yönetilen politikayla dağıtılan eklenti
Claude Code eklentisi	Ağ geçidi üzerinden aktarılan kodlama asistanı trafiği	Kendi adı için CID222	Eklenti

Trafiği hangi nokta taşırsa taşısın, sonucu aynı tespit hattı ve aynı politika belirler ve her karar tek bir Tüm Tespitler akışına düşer.

Screenshot pendingŞema: uygulama, tarayıcı ve masaüstü trafiğinin API ağ geçidi, satır içi vekil, ICAP üzerinden üçüncü taraf ağ geçidi, uç nokta ajanı ve tarayıcı eklentisi üzerinden tek bir tespit hattına ulaşması/assets/screenshots/deploy-topologies@0.4.png

API ağ geçidi

Uygulamalar istekleri sağlayıcıya değil CID222'ye gönderir. Sağlayıcı kimlik bilgisini CID222 tutar, istek üzerinde hattı çalıştırır, iletir, yanıt üzerinde hattı yeniden çalıştırır ve sonucu döndürür.

Tam bir istek–yanıt çiftini gören ve bunu tahmin etmeden adı belli bir hesaba bağlayan tek yol budur. Bir geliştiricinin bilerek kendisine yönlendirmediği hiçbir şeyi görmez.

Satır içi vekil

cid-inline-proxy, mitmproxy üzerine kurulu, tercihe bağlı bir iletme vekilidir ve inline-proxy compose profiliyle başlatılır. Oturumun şifresini cihazda üretilen bir sertifika otoritesiyle çözer, çözülmüş gövdeyi ağ geçidinin denetim uç noktasına gönderir ve kararı uygular — olduğu gibi iletmek, maskelenmiş bir gövde iletmek ya da tarayıcıya 403 sayfasıyla yanıt vermek.

İki portu dinler: açık vekil ayarıyla yapılandırılmış tarayıcılar için 8443 ve trafiği saydam biçimde yönlendiren bir güvenlik duvarı için 8084. İstemci adresleri kendileri olarak gelsin diye ana makine ağ ad alanında çalışır.

Müşterinin kendine ait bir güvenli web ağ geçidi olmadığı yerde kullanın. CID222'yi veri yoluna koyar; dolayısıyla bir kesinti, kendisine yönlendirilen ana bilgisayar adları için dış erişimi etkiler.

ICAP üzerinden üçüncü taraf ağ geçidi

Müşteri zaten bir güvenli web ağ geçidi çalıştırıyorsa, o ürün zaten TLS uç noktasıdır ve otoritesi zaten her yönetilen cihazdadır. CID222, onun çağırdığı bir tarayıcıya dönüşür: TCP 1344 üzerinde bir Internet Content Adaptation Protocol (ICAP) dinleyicisi ya da bunu tercih eden bulut tabanlı ağ geçitleri için bir HTTP denetim uç noktası.

Kurumsal ortama en temiz oturan yol budur. İki yerine tek sertifika otoritesi, fazladan sıçrama yok ve CID222 dış erişimde tek arıza noktası değil — tarayıcı erişilemez olduğunda ne olacağına ağ geçidinin kendi arıza ayarı karar verir. Ayrıca gerçek bir ağ geçidi ürünüyle uçtan uca doğrulanmış tek yoldur; bkz. ICAP ve üçüncü taraf ağ geçitleri.

Uç nokta ajanı

Ajan, iş istasyonunun kendisinde işletim sistemi düzeyinde zorlar; bu da sistem vekilini gözetmeyen masaüstü araçlarını ve kurumsal ağdan ayrılan cihazları kapsar. Satır içi vekille aynı denetim mantığını taşır ve cihazın otoritesini kullanmak yerine cihaz başına kendi sertifika otoritesini üretir.

Tarayıcı eklentisi

Eklenti, hiçbir şeyin şifresini çözmeyen tek yoldur: kullanıcının sayfaya yazdığını, tarayıcı şifrelemeden önce okur. Dağıtılacak bir sertifika otoritesi ve bozulacak bir yakalama yoktur.

Kendi başına engelleme de yapmaz. Çalıştığını, dışarı çıkarılamayan bir cihaz anahtarıyla imzaladığı kalp atışıyla kanıtlar; CID222 sağlıklı cihazların adreslerini bir dış dinamik liste olarak yayımlar ve müşterinin mevcut güvenlik duvarı sağlayıcı trafiğine yalnızca o listeden izin verir. Denetim güvenlik duvarındadır; eklenti kanıttır. Eklentiyi kaldıran bir kullanıcı, denetlenmeyen bir yol kazanmaz, erişimini kaybeder.

Claude Code eklentisi

Eklenti, bir kodlama asistanının trafiğini ağ geçidi üzerinden yönlendirir. Bir web ön yüzünü değil gerçek API trafiğini aktardığı için, sağlayıcının kendi token sayımlarını bir tahmin olarak değil CLAUDE_CODE_USAGE olarak kaydeden tek vekilli yoldur.

Hangisi seçilmeli

Durum	Kullanın	Neden
Uygulamalar ve iç araçlar bir sağlayıcı API'sini çağırıyor	API ağ geçidi	Tam istek ve yanıt, adı belli hesap, hiç yakalama yok
Müşteri ICAP ya da bir HTTP çağrısı konuşan bir güvenli web ağ geçidi çalıştırıyor	Üçüncü taraf ağ geçidi	Tek sertifika otoritesi, fazladan sıçrama yok, CID222 dış erişim yolunda değil
Güvenli web ağ geçidi yok ve uç noktalar etki alanına katılmış	Satır içi vekil	Ağ geçidi CID222'dir; otoritesini ve bir vekil ayarını politikayla dağıtın
Güvenlik ekibi mevcut bir ağ geçidinin önünde ayrı bir denetim cihazı istiyor	Akış yukarısına zincirlenmiş satır içi vekil	Bu mimariye uyar; bedeli her istemcide ikinci bir yakalama ve ikinci bir otoritedir
Cihazlar ağdan ayrılıyor ya da kullanıcılar vekili yok sayan masaüstü araçları çalıştırıyor	Uç nokta ajanı	Zorlama cihazı izler
Müşteri şifre çözen bir vekili hiç dağıtmayacak	Tarayıcı eklentisi	Yakalama yok; zorlamayı eklentinin doğrulamasına dayanarak güvenlik duvarı yapar

Tek ana bilgisayar adı, tek denetim noktası

Belirli bir ana bilgisayar adı tam olarak tek bir yerde denetlenmelidir. Ya ağ geçidi onu CID222'ye gönderir ya da CID222'nin satır içi vekili onu denetler — asla ikisi birden.

Metin çifte denetime dayanır: maskeleme etkisiz tekrarlanabilirdir; ikinci geçiş ya yeniden maskeler ya hiçbir şey bulmaz. Görseller dayanmaz. İlk geçiş görseli maskelerken yeniden kodlar ve ikinci geçiş bu yeniden kodlanmış veriyi temiz biçimde işleyemediği için yüklemeyi reddeder. Doğrulama düzeneğinde ölçüldü: satır içi vekil tarafından maskelenen, sonra önündeki ağ geçidi tarafından ICAP üzerinden yeniden denetlenen bir ChatGPT görsel yüklemesi tarayıcıya 403 olarak döndü.

CID222'nin satır içi vekili mevcut bir ağ geçidinin önünde durduğunda, o ağ geçidi sağlayıcı ana bilgisayar adları için düz iletmeye indirilmelidir — derin denetim yok ve bunları taşıyan politikada denetim profili yok.

Sınırlar ve bilinen eksikler

Yönetmediğiniz bir cihaz yakalanamaz. Yakalama, istemcinin güven deposundaki bir sertifika otoritesine bağlıdır. Kişisel bir cihazda böyle bir otorite yoktur ve bunun mühendislik yanıtı da yoktur — yalnızca cihaz yönetimi ya da o trafiği reddetme kararı vardır.
Sertifika sabitleyen uygulamalar yakalanamaz. Mobil sağlayıcı uygulamaları genellikle sabitler ve herhangi bir vekilin sunduğu oturumu reddeder. Bunları mobil cihaz yönetimi katmanında denetleyin ya da boşluğu kayda geçirin.
Cihaz üzerindeki modeller hiç ağ trafiği üretmez. Tarayıcının ya da işletim sisteminin içinde çalışan bir model, hiçbir ağ denetiminin görebileceği bir istek yapmaz.
HTTP/3 yakalanmaz. Yakalama motoru QUIC şifresini çözmez. İstemcilerin TCP'ye düşmesi için sağlayıcı ana bilgisayar adlarına giden UDP 443'ü engelleyin; aksi hâlde o oturumlar denetimi atlar.
Parçalı ve sürdürülebilir yüklemeler denetlenmez, reddedilir. Çok istekli bir yüklemenin bir parçası tek başına denetlenemez; bu yüzden üç yakalama yolu da bunu varsayılan olarak reddeder. Kullanıcı bir maskeleme değil, başarısız bir yükleme görür.
Satır içi vekil yolunda çok büyük gövdeler denetlenmeden iletilir. Vekil, 512 KB üzerindeki metin gövdelerini ve 25 MB üzerindeki ikili gövdeleri engellemek yerine atlar. Yukarıdaki reddin aksine bu sessiz bir geçiştir.
ICAP dinleyicisi eşini doğrulayamaz ve aynı ana makinedeki bir sanal makine laboratuvarında kimin çağırdığını göremez bile. Bkz. ICAP ve üçüncü taraf ağ geçitleri ve Her ICAP çağıranı aynı docker köprü adresiyle geliyor çalışma kitabı.
Laboratuvarda doğrulanmış tek ağ geçidi ürünü vardır. FortiProxy 7.4.13, bir kabul testi planıyla uçtan uca doğrulanmıştır. Diğer sağlayıcı sayfaları sağlayıcı belgelerinden yazılmıştır ve bunu belirtir.

İlgili görevler

Satır içi vekili dağıtma — tarayıcı trafiği için ağ geçidini CID222 yapın.
ICAP ve üçüncü taraf ağ geçitleri — mevcut bir güvenli web ağ geçidini bağlayın.
Ağ önkoşulları — bu topolojilerin her birinin hangi portları hangi yönde açık gerektirdiği.

Yakalama topolojileri