# Разделить явный и прозрачный прокси
# Симптомы

*   *Необходимо выполнить разделение прокси или ограничить прямой доступ в интернет через transparent proxy, при этом разрешить работу только через explicit proxy*
*   *Как заблокировать трафик в обход прокси (bypass proxy)*

### Решение №1:

Создать правило DNAT:

*   В адресе назначения указать IP-адрес интерфейса NGFW, на который приходят запросы от клиентов, и нажать "инвертировать"
*   В DNAT указать любой адрес, в который будет направляться трафик (blackhole, любой несуществующий адрес)
*   Указать сервисы, например "HTTP" и "HTTPS" (Опционально)

Таким образом трафик прозрачного прокси будет попадать под данное правило и перенаправляться на указанный "несуществующий" адрес в сети. При этом трафик через явный прокси не попадет под правило и обработается правилами ниже.

### Решение №2:

Выделить отдельный интерфейс для прокси, поместив его в отдельную зону, более подробно в статье - [https://docs.usergate.com/razdelenie-trafika-dlya-primeneniya-raznyh-algoritmov-obrabotki\_587.html](https://docs.usergate.com/razdelenie-trafika-dlya-primeneniya-raznyh-algoritmov-obrabotki_587.html)

При этом, если вам нужно указать на отдельном интерфейсе для прокси адрес из той же сети, вы можете поместить его в отдельный VRF. Далее имеется 2 варианта на выбор:

1\) Для зоны с прокси настроить разрешающее правило по протоколам HTTP и HTTPS, а в зоне без прокси данные сервисы исключить.

2\) В зоне без прокси в правиле NAT разрешить все сервисы, кроме HTTP и HTTPS, для зоны же с прокси при этом правило NAT настраивать не нужно

Для штатного функционала разграничения явного и прозрачного прокси в будущих версиях имеется задача **DIS-609**.