Sekvi TPROXY-paketon ĝis la ingo
Kontrolu la ricevan ingon, la pakan markon kaj la lokan politikan itineron kiel unu liveran vojon de travidebla prokuro.
TPROXY-nombrilo povas kreski dum la aplikaĵo ricevas nenion. La regulo kongruis, sed loka livero ankoraŭ dependas de politika enkursigado kaj kongrua riceva ingo.
Linux TPROXY povas intercepti trafikon sen reverki la celon kiel faras DNAT. Do paketoj adresitaj al neloka celo devas atingi taŭgan lokan ingon.
Sekvu la liveran vojon
- Trafiko atingas la intercepthan gastiganton sur la celita interfaco kaj adresa familio.
- La intercepta regulo kaj la paka marko identigas la lokan liverpolitikon.
- Kongrua politika regulo elektas itineron, kiu liveras la paketojn loke.
- La prokuro uzas subtenatan travideblan aŭskultanton kun la bezonata inga opcio.
La IPv4-ekzemplo de la kerno postulas aplikaĵan subtenon por IP_TRANSPARENT. Ordinara aŭskultanto sur la sama pordo, aŭ tutmonda neloka bind-agordo, ne pruvas tiun subtenon.
| Observo | Sekva kontrolo |
|---|---|
| Neniuj gravaj envenaj paketoj | Trafika vojo kaj eniga interfaco |
| Paketoj alvenas; intercepnombrado restas senmova | Adresa familio, ĉeno kaj kongruaj kondiĉoj |
| Regulo kongruas; loka livero malsukcesas | Marko kaj elekto de politika itinero |
| Ingo aŭskultas; aplikaĵo vidas nenion | Kapablo de travidebla ingo kaj posedanto de la aŭskultanto |
| Peto komenciĝas; postaj respondoj malsukcesas | Kongruo de establita ingo kaj revenaj itineroj |
Konservu la ŝarĝitan agordon kaj la retan nomspacon kun ĉiu observo. Posta regulo povas anstataŭigi markon aŭ elekti alian itineron. Se intercepto okazas sur la gastiganto dum la aŭskultanto ruliĝas en ujo, valida gastiganta loka itinero ne liveras aŭtomate en tiun ujon.
Konsideru postajn paketojn
La kerna ekzemplo inkluzivas ingan kongruon kaj DIVERT-vojon, kiu markas paketojn de travideblaj ingoj. Forlasi ĝin povas lasi postan trafikon sur alia vojo eĉ kiam la unua intercepto sukcesas.
Uzu la subtenatan travideblan reĝimon de la aplikaĵo kaj la kongruan kernan dokumentaron por ĉiu adresa familio. IPv4-loka-itinera komando ne agordas IPv6, kaj subteno en unu familio ne pruvas la ingan konduton de la alia.
TPROXY ankaŭ ne generas SOCKS-traktadon. Travidebla-al-SOCKS komponanto ankoraŭ devas eltrovi la celon kaj trakti kun sia supra servilo.
Transiri de REDIRECT
Notu kiel la ekzistanta aplikaĵo akiras la originan celon. REDIRECT ŝanĝas la celon kaj fidas la taŭgan reakiran mekanismon; TPROXY bezonas sian travideblan ingon kaj enkursigan aranĝon. Elektu laŭ la aplikaĵo kaj la fontadresa politiko.
Parigu nombrilojn kun la elektita itinero, la inga kapablo kaj la aplikaĵa protokolo antaŭ ol ŝanĝi intercepajn reĝimojn. Sur distribuo provizanta la necesajn rimedojn, mankanta liverpaŝo estas pli bona deirpunkto ol rekumpili la kernon.