Squid tcp_outgoing_mark und Linux-fwmark-Routing

Klassifizieren Sie ausgewählte Proxy-Anfragen mit tcp_outgoing_mark und lassen Sie eine bestehende Linux-fwmark-Regel deren Route wählen.

Squid kann eine Anfrage anhand von Informationen klassifizieren, die eine gewöhnliche IP-Route nicht besitzt. In einem unterstützten Linux-Build setzt tcp_outgoing_mark anhand einer schnellen ACL eine Netfilter-Markierung auf der Serverseite:

acl selected_sites dstdomain -n .vendor.example
tcp_outgoing_mark 0x20 selected_sites
tcp_outgoing_mark 0x00 all

Eine passende Linux-Policy-Regel kann dann fwmark 0x20 nutzen, um eine bereits eingerichtete Routing-Tabelle auszuwählen. Die Tabelle braucht weiterhin die richtigen Routen und einen erreichbaren nächsten Hop. Die Squid-Direktive erzeugt sie nicht.

Diese Markierung sind lokale Routing-Metadaten. Sie unterscheidet sich vom DSCP- oder TOS-Feld im IP-Paket und von tcp_outgoing_address, das eine Quell-IP auswählt.

Die dokumentierte Direktive setzt Linux-Unterstützung für Paketmarkierung und Capabilities voraus und akzeptiert nur schnelle ACLs. Sie ist in Squid 7 und früheren aufgeführten Versionen verfügbar, nicht in Squid 8.

Gestalten Sie die Policy entlang der tatsächlichen ausgehenden Verbindungen. Wiederverwendete TCP-Verbindungen werden nicht allein dadurch neu, dass eine andere HTTP-Anfrage sie nutzt. Behalten Sie außerdem den Rückweg zum Client und die Route des unmarkierten Verkehrs im Entwurf.

Ähnliche Artikel