Hosting PAC‑bestand voor externe toegang !!

Hallo,

Het probleem dat je beschrijft komt vaak voor wanneer PAC‑bestanden uitsluitend intern gehost worden en browsers buiten het bedrijfsnetwerk geen toegang hebben tot de interne webserver. De veiligste manier om dit op te lossen is het PAC‑bestand te hosten op een publiek toegankelijke locatie, maar zonder dat je interne configuraties of infrastructuur blootlegt.

De best practice is om het PAC‑bestand zelf zo minimaal mogelijk te houden en geen interne hostnamen of IP‑ranges te publiceren die niet bedoeld zijn voor extern gebruik. Je kunt het bestand op een publiek CDN of een beveiligde webserver plaatsen, mits deze via HTTPS bereikbaar is. Het is belangrijk dat TLS correct geconfigureerd is en dat je een certificaat gebruikt van een vertrouwde CA, zodat browsers het bestand zonder waarschuwingen kunnen laden.

In de PAC‑file zelf kun je logica opnemen die onderscheid maakt tussen interne en externe netwerken. Bijvoorbeeld door isInNet(myIpAddress(), "10.0.0.0", "255.0.0.0") te gebruiken om interne ranges te detecteren en alleen dan interne proxy’s te gebruiken. Voor externe gebruikers kan de PAC‑file een fallback naar een publieke proxy of direct internettoegang definiëren. Op die manier blijft het bestand veilig bruikbaar, ook al is het publiek toegankelijk.

Qua verwijzing is het aan te raden om de PAC‑URL centraal via Group Policy of Intune in te stellen, zodat gebruikers niet zelf hoeven te configureren. Gebruik altijd een HTTPS‑link naar het CDN of de webserver, bijvoorbeeld https://cdn.bedrijf.nl/proxy.pac.

Samengevat: host het PAC‑bestand op een publiek toegankelijke HTTPS‑locatie met een geldig certificaat, minimaliseer interne details in het bestand, gebruik logica om interne/externe netwerken te onderscheiden, en configureer de PAC‑URL centraal via beleid. Zo blijft het bestand beschikbaar voor externe gebruikers zonder dat je interne configuratie blootstelt.

DV.