DNAT procsi tryloyw: pam mae'r llwybr dychwelyd yn bwysig
Deall pam y gall DNAT gyflwyno cais i brocsi ar wahân tra bod yr ateb yn osgoi'r porth a thorri'r cysylltiad.
Gall SYN ailgyfeiriedig gyrraedd Squid tra bod y cleient yn dal i aros tan amser. Mewn sefydliad DNAT, rhaid i'r pecyn dychwelyd gyrraedd y porth sy'n berchen ar gyflwr y cyfieithu hefyd.
Ystyriwch y LAN damcaniaethol hon:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyCysylltodd y cleient yn wreiddiol ag anerchiad gwefan. Ar ôl DNAT, mae'r procsi yn gweld ffynhonnell y cleient ac yn gallu defnyddio llwybr yr is-rwydwaith lleol i ateb yn uniongyrchol. Mae'r ateb hwnnw yn osgoi cyfieithiad gwrthdro'r porth ac yn gallu cyrraedd y cleient o anerchiad y procsi yn lle'r anerchiad gwefan a ddisgwylir. Ni all y porth drwsio pecynnau na chafodd erioed.
| Dull | Canlyniad |
|---|---|
| Danfon atebion y procsi drwy'r porth sy'n cyfieithu | Gall y cysylltiad procsi sy'n dod i mewn gadw anerchiad ffynhonnell y cleient |
| Rhoi cyfieithiad ffynhonnell priodol hefyd | Mae'r procsi yn ateb y porth fel ei gymar, ond bellach yn gweld y ffynhonnell gyfieithiedig honno yn lle'r cleient gwreiddiol |
Peidiwch â dileu SNAT er mwyn cael logiau tlysach heb wirio'r llwybr dychwelyd. Mae ei gymhwyso'n eang hefyd yn newid ACL ffynhonnell ac attbriodiad; derbyniwch y canlyniad hwnnw fel rhan o'r cynllun.
Gall naid HTTP ymddiriedig drosglwyddo metadata'r cleient mewn pennawd anfon, ond nid yw NAT yn creu'r pennawd hwnnw nac yn ei droi'n hunaniaeth cymar TCP. Nid yw cadw ffynhonnell ar y cysylltiad i Squid yn ei chadw ar gysylltiad gwefan ar wahân Squid chwaith.
Yn olaf, mae'r cynllun rhyng-gipio yn dal i fod angen darparu y wybodaeth gyrchfan y mae Squid yn ei chynnal. Mae llwybro dychwelyd cymesur yn datrys y mecanwaith aros tan amser hwn, nid y cyfluniad procsi tryloyw cyfan.