DNAT de proxy transparente: por qué importa la ruta de vuelta
Entienda por qué DNAT puede entregar una petición a un proxy aparte mientras la respuesta evita la puerta de enlace y rompe la conexión.
Un SYN redirigido puede llegar a Squid mientras el cliente sigue en tiempo de espera. En una configuración DNAT, el paquete de vuelta también debe llegar a la puerta de enlace que posee el estado de traducción.
Considere esta LAN hipotética:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyEl cliente se conectó originalmente a una dirección de sitio web. Tras DNAT, el proxy ve el origen del cliente y puede usar la ruta de la subred local para responder directamente. Esa respuesta se salta la traducción inversa de la puerta de enlace y puede llegar al cliente desde la dirección del proxy en lugar de la dirección de sitio web esperada. La puerta de enlace no puede reparar paquetes que nunca recibe.
| Enfoque | Consecuencia |
|---|---|
| Encaminar las respuestas del proxy por la puerta de enlace que traduce | La conexión entrante al proxy puede conservar la dirección de origen del cliente |
| Aplicar también la traducción de origen adecuada | El proxy responde a la puerta de enlace como su par, pero ahora ve ese origen traducido en lugar del cliente original |
No quite SNAT para tener registros más bonitos sin verificar la ruta de vuelta. Aplicarlo ampliamente también cambia las ACL de origen y la atribución; acepte esa consecuencia como parte del diseño.
Un salto HTTP de confianza puede transmitir metadatos del cliente en una cabecera de reenvío, pero NAT no crea esa cabecera ni la convierte en una identidad de par TCP. Conservar un origen en la conexión hacia Squid tampoco lo conserva en la conexión separada de Squid al sitio web.
Por último, el diseño de intercepción aún debe proporcionar la información de destino que Squid requiere. El enrutamiento simétrico de vuelta resuelve este mecanismo de tiempo de espera, no toda la configuración del proxy transparente.