Intercepció de proxy amb iptables: ports 80 i 443 com un conjunt
Combina els ports 80 i 443 com un conjunt i mantén l'elecció de l'adreça del client separada del destí reescrit pel proxy.
Per seleccionar el trànsit TCP el port de destí del qual és 80 o 443, fes servir un conjunt:
-p tcp -m multiport --dports 80,443En canvi, --dport 80:443 selecciona tot el rang de 80 a 443, ambdós inclosos. Això captura molts ports addicionals. La coma i els dos punts expressen polítiques diferents.
Aquests són fragments de coincidència, no ordres de tallafocs completes. Afegeix-los a la cadena i a l'acció que demana el disseny d'intercepció.
| Selector | Què identifica abans de la reescriptura |
|---|---|
-s 192.0.2.20 | L'adreça d'origen del client |
-d 198.51.100.30 | L'adreça del servidor de destí |
--dports 80,443 | Els ports de servei de destí |
L'adreça que es passa a --to-destination de DNAT és el destí nou, per exemple l'oient del proxy. No substitueix el significat de les coincidències d'origen i destí anteriors.
Mantén el selector prou estret per descriure els clients i el trànsit previstos. Tingues en compte sobretot les connexions que genera el mateix proxy, perquè les seves peticions posteriors no tornin a entrar al mateix camí d'intercepció. Tampoc triar el port 443 no converteix els bytes d'aquella connexió en una petició explícita a un proxy HTTP; l'aplicació receptora encara necessita el mode d'intercepció adequat. Per reenviar TCP de manera transparent cap a un proxy, el traductor ha de recuperar el destí original i negociar el protocol del proxy.