Wat is een PAC-bestand?

PAC-bestand in detail

Technisch is een PAC-bestand een klein script dat de client van een URL laadt en lokaal evalueert. De logica controleert doorgaans hostnamen, domeinen of IP-bereiken en geeft de eerste passende instructie terug. Zscaler biedt gehoste PAC-bestanden aan die zich centraal laten beheren en variabelen kunnen bevatten waarmee de client automatisch het dichtstbijzijnde Zscaler-knooppunt krijgt, bijvoorbeeld ${GATEWAY} voor het op dat moment bereikbare gateway-IP-adres of ${Gateway_Host} voor een hostnaam in plaats van een vast IP-adres.

In samenspel met de Zscaler Client Connector duikt de PAC op twee plekken op: het forwarding-profiel kan verkeer in tunnelmodus inkapselen of via de PAC naar de proxy verwijzen, en ook in het app-profiel zijn PAC-gebaseerde regels en uitzonderingen vast te leggen. Belangrijk voor het opsporen van fouten: een PAC stuurt alleen applicaties aan die de proxy-instellingen van systeem of browser respecteren. Verkeer van diensten die dit negeren, volgt andere wegen, bijvoorbeeld de tunnel.

Waarom tellen PAC-bestanden in de Zscaler-praktijk?

In de praktijk is het PAC-bestand een klassieke hefboom met een groot bereik: een typefout, een verkeerd gesorteerde voorwaarde of een vergeten uitzondering werkt meteen door op alle gebruikers die deze PAC laden. Typische ticketbeelden zijn „alles traag“, „pagina niet bereikbaar“ of applicaties die alleen op bepaalde locaties werken. Of de oorzaak de PAC, het forwarding-profiel of het netwerk is, is zonder inzicht in de keten moeilijk te zeggen.

Beveiligingstechnisch geldt: elke DIRECT-uitzondering is verkeer dat de controle omzeilt. Jarenlang gegroeide PAC-bestanden verzamelen uitzonderingen waarvan niemand de reden nog kent. Daarom horen PAC-wijzigingen geversioneerd, onderbouwd en getest te zijn, met regelmatige controle welke uitzonderingen nog nodig zijn. Voor audits telt wie het bestand wanneer heeft gewijzigd en waarom.

Veelvoorkomende foutbronnen

• Syntax- of logicafout: al een typefout in de PAC-functie kan de forwarding breken voor alle gebruikers die het bestand laden.
• Te brede DIRECT-uitzonderingen: wat direct gaat, wordt niet gecontroleerd; gegroeide uitzonderingslijsten worden een onzichtbaar beveiligingslek.
• Lokale kopieën en caches: verouderde, lokaal verspreide PAC-versies in plaats van het centraal gehoste bestand leiden tot drift en moeilijk reproduceerbare fouten.
• PAC met tunnelmodus verward: wie verwacht dat de PAC al het verkeer stuurt, ziet applicaties over het hoofd die proxy-instellingen negeren.

PAC-bestanden in de praktijk: wat CentaurNexus bijdraagt

CentaurNexus kijkt daar waar anders gegokt wordt: in de PAC zelf. Hoe deze live-controle van het actieve PAC-bestand via een test-URL er concreet uitziet, toont onze video van ruim tweeënhalve minuutPAC-Lens leest het daadwerkelijk actieve PAC-bestand uit de tenant, controleert de syntax en toont via een test-URL welke regel in de FindProxyForURL van toepassing is, voordat iemand de PAC zomaar verdenkt. Voor wijzigingen vult PAC Configuration Studio de leespagina aan met een bouwpagina: PAC-regels ontstaan in de regelbouwer zonder JavaScript-kennis, het tabblad Testen controleert ze met dezelfde trace-engine als PAC-Lens, en het definitieve bestand wordt geëxporteerd; het doorvoeren naar de tenant blijft bewust bij de beheerder. Of een storing daadwerkelijk aan de forwarding ligt, verheldert Connectivity Triage Map vooraf met een diagnose in gewone taal: ISP, wifi, apparaat of Zscaler. Hoe deze duiding er in de praktijk uitziet, toont de gids Ligt het aan Zscaler of aan de wifi?.

Verwante begrippen