Şəffaf proxy DNAT: qayıdış marşrutu niyə vacibdir

DNAT-ın sorğunu ayrı bir proxy-yə çatdırdığı halda cavabın şlüzü keçərək bağlantını niyə pozduğunu anlayın.

Yönləndirilmiş SYN Squid-ə çata bilər, halbuki müştəri hələ də vaxt aşımı alır. DNAT qurulumunda qayıdış paketi tərcümə vəziyyətini saxlayan şlüzə də çatmalıdır.

Bu hipotetik LAN-a baxın:

client 192.168.40.25 → gateway 192.168.40.1
                         DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directly

Müştəri əvvəlcə vebsayt ünvanına qoşulmuşdu. DNAT-dan sonra proxy müştərinin mənbəyini görür və birbaşa cavab vermək üçün yerli alt şəbəkə marşrutundan istifadə edə bilər. Bu cavab şlüzün tərs tərcüməsini keçmir və gözlənilən vebsayt ünvanı yerinə proxy ünvanından müştəriyə çata bilər. Şlüz heç vaxt almadığı paketləri bərpa edə bilməz.

YanaşmaNəticə
Proxy-nin cavablarını tərcümə edən şlüzdən keçirməkGələn proxy bağlantısı müştərinin mənbə ünvanını saxlaya bilər
Uyğun mənbə tərcüməsini də tətbiq etməkProxy şlüzə öz həmkarı kimi cavab verir, lakin indi orijinal müştəri yerinə həmin tərcümə edilmiş mənbəyi görür

Daha gözəl jurnallar üçün SNAT-ı qayıdış marşrutunu yoxlamadan silməyin. Onu geniş tətbiq etmək mənbə ACL-lərini və aidiyyəti də dəyişir; bu nəticəni dizaynın hissəsi kimi qəbul edin.

Etibarlı HTTP hopu müştəri metaməlumatını yönləndirmə başlığında ötürə bilər, lakin NAT həmin başlığı yaratmır və onu TCP həmkarı kimliyinə çevirmir. Mənbəni Squid-ə gedən bağlantıda saxlamaq onu Squid-in ayrı vebsayt bağlantısında da saxlamır.

Nəhayət, müdaxilə dizaynı hələ də Squid-in tələb etdiyi təyinat məlumatını təmin etməlidir. Simmetrik qayıdış marşrutu bu vaxt aşımı mexanizmini həll edir, bütün şəffaf-proxy konfiqurasiyasını deyil.

Əlaqəli məqalələr