Registros de proxy

Cuando un navegador va a un sitio con HTTPS a través de un proxy, primero pide un túnel con el método CONNECT hacia un servidor y un puerto. Si el proxy no abre el contenido, su registro tiene el destino, la hora, los bytes y el resultado del túnel, pero la ruta de la página y las cabeceras quedan dentro del cifrado. Con el método GET sobre HTTP sin cifrar, en cambio, la ruta y el agente de usuario están a la vista.

Para vigilar la salida de archivos importa el total que envió cada persona, no el tamaño de una sola petición. Una persona puede subir poco en cada acto y mucho en total. Suma bytes_enviados por usuario en proxy_log, sin tener en cuenta las filas sin usuario, que son peticiones no autenticadas.

La columna accion dice qué hizo el proxy con la petición según la política de categorías. Una petición bloqueada es un intento, no un hecho consumado, y por eso su volumen es una medida distinta de la de lo permitido: nos habla de qué intenta la gente, no de lo que consiguió.

El agente de usuario es el texto con que el programa se presenta. La mayoría de las peticiones traen el del navegador corporativo y los programas de la empresa traen el suyo. Una petición que envía datos con el método POST y se presenta con un nombre de biblioteca de programación no prueba nada: pregunta a quién pertenece ese equipo y qué programa corre.

Algunas filas traen un guion en usuario: el proxy no autenticó la petición. Eso pasa con servicios del sistema y con equipos que no usan la identidad de la persona. Para decir qué equipo y qué persona hay detrás se necesita otra fuente, como el servidor de direcciones o el agente de punto final.