اعتراض الوكيل عبر iptables: مطابقة المنفذين 80 و443 كمجموعة

لاختيار حركة TCP التي يكون منفذ وجهتها 80 أو 443، استخدم مجموعة:

-p tcp -m multiport --dports 80,443

وبالمقارنة، يختار --dport 80:443 النطاق الكامل من 80 إلى 443 بما فيه الطرفان. وهذا يلتقط منافذ إضافية كثيرة. فالفاصلة والنقطتان تعبّران عن سياستين مختلفتين.

هذه مقتطفات للمطابقة وليست أوامر جدار حماية كاملة. أضِفها إلى السلسلة والإجراء الذي يتطلبه تصميم الاعتراض.

العنوان الذي يُعطى إلى --to-destination في DNAT هو الوجهة الجديدة، مثل مستمع الوكيل. وهو لا يستبدل معنى مطابقات المصدر والوجهة السابقة.

أبقِ المُحدِّد ضيقاً بما يكفي لوصف العملاء والحركة المقصودة. واحسب حساباً خاصاً للاتصالات التي يولّدها الوكيل نفسه كي لا تعود طلباته اللاحقة إلى مسار الاعتراض ذاته. كذلك فإن اختيار المنفذ 443 لا يحوّل بايتات ذلك الاتصال إلى طلب صريح لوكيل HTTP؛ فالتطبيق المستلم ما زال يحتاج إلى نمط الاعتراض المناسب. وللتمرير الشفاف من TCP إلى الوكيل، يجب على المُترجم استعادة الوجهة الأصلية والتفاوض على بروتوكول الوكيل.