Proxy-Abfangen mit iptables: Ports 80 und 443 als Menge
Vergleiche die Ports 80 und 443 als eine Menge und halte die Auswahl der Client-Adresse getrennt vom umgeschriebenen Ziel des Proxys.
Um TCP-Verkehr auszuwählen, dessen Zielport 80 oder 443 ist, verwende eine Menge:
-p tcp -m multiport --dports 80,443Im Vergleich dazu wählt --dport 80:443 den gesamten Bereich von 80 bis einschließlich 443. Damit werden viele zusätzliche Ports erfasst. Komma und Doppelpunkt drücken unterschiedliche Richtlinien aus.
Dies sind Vergleichsfragmente, keine vollständigen Firewall-Befehle. Füge sie der Kette und der Aktion hinzu, die das Abfangkonzept verlangt.
| Selektor | Was er vor der Umschreibung identifiziert |
|---|---|
-s 192.0.2.20 | Die Quelladresse des Clients |
-d 198.51.100.30 | Die Adresse des Zielservers |
--dports 80,443 | Die Dienstports des Ziels |
Die Adresse, die --to-destination von DNAT erhält, ist das neue Ziel, etwa der lauschende Proxy. Sie ersetzt nicht die Bedeutung der vorangehenden Quell- und Zielvergleiche.
Halte den Selektor eng genug, um die beabsichtigten Clients und den Verkehr zu beschreiben. Berücksichtige insbesondere Verbindungen, die der Proxy selbst erzeugt, damit seine weiteren Anfragen nicht erneut in denselben Abfangweg geraten. Die Wahl von Port 443 macht die Bytes dieser Verbindung auch nicht zu einer ausdrücklichen HTTP-Proxy-Anfrage; die empfangende Anwendung braucht weiterhin den passenden Abfangmodus. Für transparentes Weiterleiten von TCP an einen Proxy muss ein Übersetzer das ursprüngliche Ziel wiederherstellen und das Proxy-Protokoll aushandeln.