Перахоп праксі праз iptables: парты 80 і 443 як адзін набор
Супaстаўляйце парты 80 і 443 як адзін набор, а выбар адраса кліента трымайце асобна ад перапісанага праксі прызначэння.
Каб выбраць TCP-трафік, у якога парт прызначэння 80 або 443, выкарыстайце набор:
-p tcp -m multiport --dports 80,443Для параўнання --dport 80:443 выбірае ўвесь дыяпазон ад 80 да 443 уключна. Гэта захоплівае шмат дадатковых партоў. Коска і двукроп'е выражаюць розныя палітыкі.
Гэта фрагменты супастаўлення, а не поўныя каманды фаервола. Дадайце іх у ланцуг і дзеянне, якіх патрабуе схема перахопу.
| Селектар | Што ён вызначае да перапісання |
|---|---|
-s 192.0.2.20 | Адрас крыніцы кліента |
-d 198.51.100.30 | Адрас сервера прызначэння |
--dports 80,443 | Сэрвісныя парты прызначэння |
Адрас, які перадаецца ў --to-destination DNAT, — гэта новае прызначэнне, напрыклад слухач праксі. Ён не замяняе сэнс папярэдніх супастаўленняў крыніцы і прызначэння.
Трымайце селектар настолькі вузкім, каб ён апісваў мэтавых кліентаў і трафік. Асабліва ўлічвайце злучэнні, якія стварае сам праксі, каб яго наступныя запыты не вярталіся на той жа шлях перахопу. Выбар парта 443 таксама не ператварае байты гэтага злучэння ў явны запыт да HTTP-праксі; прымаючаму праграмнаму забеспячэнню ўсё яшчэ патрэбны адпаведны рэжым перахопу. Для празрыстай перадачы TCP-у-праксі перакладчык павінен аднавіць зыходнае прызначэнне і дамовіцца пра пратакол праксі.