Om 'n TPROXY-pakket tot by die sok te volg
Kontroleer die ontvangs-sok, pakmerkie en plaaslike beleidroete as een deursigtige-proxy-leweringsroete.
'n TPROXY-teller kan toeneem terwyl die toepassing niks ontvang nie. Die reël het gepas, maar plaaslike aflewering hang steeds van beleidroetering en 'n versoenbare ontvangs-sok af.
Linux TPROXY kan verkeer onderskep sonder om die bestemming te herskryf soos DNAT doen. Pakkette wat aan 'n nie-plaaslike bestemming geadresseer is, moet dus 'n geskikte plaaslike sok bereik.
Volg die afleweringsroete
- Verkeer bereik die onderskepgasheer op die beoogde koppelvlak en adresfamilie.
- Die onderskepreël en pakmerkie dui die plaaslike-afleweringbeleid aan.
- 'n Ooreenstemmende beleidreël kies 'n roete wat die pakkette plaaslik aflewer.
- Die instaanbediener gebruik 'n ondersteunde deursigtige luisteraar met die vereiste sokopsie.
Die kern se IPv4-voorbeeld vereis toepassingsondersteuning vir IP_TRANSPARENT. 'n Gewone luisteraar op dieselfde poort, of 'n globale nie-plaaslike-bind-instelling, vestig nie daardie ondersteuning nie.
| Waarneming | Volgende kontrole |
|---|---|
| Geen relevante inkomende pakkette nie | Verkeersroete en invoerkoppelvlak |
| Pakkette arriveer; onderskepteller bly stil | Adresfamilie, ketting en pasvoorwaardes |
| Reël pas; plaaslike aflewering misluk | Merkie en beleidroetekeuse |
| Sok luister; toepassing sien niks | Deursigtige sokvermoë en luisteraar-eienaar |
| Versoek begin; latere antwoorde misluk | Gevestigde-sok-passing en terugroetes |
Hou die gelaaide konfigurasie en netwerknaamruimte by elke waarneming. 'n Latere reël kan 'n merkie oorskryf of 'n ander roete kies. As onderskepping op die gasheer plaasvind terwyl die luisteraar in 'n houer loop, lewer 'n geldige gasheer-plaaslike roete nie outomaties in daardie houer nie.
Reken vir latere pakkette
Die kernvoorbeeld sluit sokpassing en 'n DIVERT-roete in wat pakkette merk wat aan deursigtige sokkies behoort. Om dit weg te laat, kan latere verkeer op 'n ander roete laat, selfs wanneer die aanvanklike onderskepping slaag.
Gebruik die toepassing se ondersteunde deursigtige modus en die ooreenstemmende kerndokumentasie vir elke adresfamilie. 'n IPv4-plaaslike-roete-opdrag konfigureer nie IPv6 nie, en ondersteuning in een familie vestig nie die sokgedrag van die ander nie.
TPROXY genereer ook nie SOCKS-onderhandeling nie. 'n Deursigtig-na-SOCKS-komponent moet steeds die bestemming ontdek en met sy opstroom onderhandel.
Van REDIRECT af beweeg
Teken op hoe die bestaande toepassing die oorspronklike bestemming verkry. REDIRECT verander die bestemming en maak staat op die gepaste herwinningsmeganisme; TPROXY het sy deursigtige sok en roetering nodig. Kies volgens die toepassing en bronadresbeleid.
Pas tellers met die gekose roete, sokvermoë en toepassingslog voor jy onderskepmodusse verander. Op 'n verspreiding wat die nodige fasiliteite bied, is 'n ontbrekende afleweringsstap 'n beter beginpunt as herkompilering van die kern.