Seguir un paquet TPROXY fins al sòcol
Comproveu el sòcol receptor, la marca del paquet i la ruta de política local com un sol camí de lliurament del proxy transparent.
Un comptador TPROXY pot augmentar mentre l'aplicació no rep res. La regla ha coincidit, però el lliurament local encara depèn de l'encaminament de política i d'un sòcol receptor compatible.
Linux TPROXY pot interceptar trànsit sense reescriure'n la destinació com fa DNAT. Per tant, els paquets adreçats a una destinació no local han d'arribar a un sòcol local admissible.
Seguiu el camí de lliurament
- El trànsit arriba a l'equip d'intercepció per la interfície i la família d'adreces previstes.
- La regla d'intercepció i la marca del paquet identifiquen la política de lliurament local.
- Una regla de política coincident tria una ruta que lliura els paquets localment.
- El proxy fa servir un oient transparent compatible amb l'opció de sòcol necessària.
L'exemple IPv4 del nucli requereix suport de l'aplicació per a IP_TRANSPARENT. Un oient normal al mateix port, o un paràmetre global de vinculació no local, no estableix aquest suport.
| Observació | Comprovació següent |
|---|---|
| No hi ha paquets d'entrada rellevants | Camí del trànsit i interfície d'entrada |
| Arriben paquets; el comptador d'intercepció no es mou | Família d'adreces, cadena i condicions de coincidència |
| La regla coincideix; el lliurament local falla | Marca i selecció de ruta de política |
| El sòcol escolta; l'aplicació no veu res | Capacitat de sòcol transparent i propietari de l'oient |
| La petició comença; les respostes posteriors fallen | Coincidència de sòcol establert i rutes de tornada |
Conserveu la configuració carregada i l'espai de noms de xarxa amb cada observació. Una regla posterior pot sobreescriure una marca o triar una altra ruta. Si la intercepció passa a l'equip mentre l'oient s'executa en un contenidor, una ruta local vàlida de l'equip no lliura automàticament dins d'aquell contenidor.
Tingueu en compte els paquets posteriors
L'exemple del nucli inclou la coincidència de sòcol i un camí DIVERT que marca els paquets dels sòcols transparents. Ometre'l pot deixar el trànsit posterior en un camí diferent encara que la intercepció inicial reeixi.
Feu servir el mode transparent compatible amb l'aplicació i la documentació del nucli corresponent per a cada família d'adreces. Una ordre de ruta local IPv4 no configura IPv6, i el suport en una família no estableix el comportament del sòcol de l'altra.
TPROXY tampoc no genera negociació SOCKS. Un component de transparent a SOCKS encara ha de descobrir la destinació i negociar amb el seu servidor superior.
Passar de REDIRECT
Anoteu com obté l'aplicació existent la destinació original. REDIRECT canvia la destinació i depèn del mecanisme de recuperació adequat; TPROXY necessita el seu sòcol transparent i la disposició d'encaminament. Trieu segons l'aplicació i la política d'adreça d'origen.
Combineu els comptadors amb la ruta triada, la capacitat del sòcol i el registre de l'aplicació abans de canviar de mode d'intercepció. En una distribució que aporti els mitjans necessaris, un pas de lliurament que falta és un millor punt de partida que recompilar el nucli.