TPROXY paketi jälgimine kuni soklini
Kontrollige vastuvõtvat soklit, paketi märget ja kohalikku poliitikamarsruuti kui üht läbipaistva puhverserveri tarne teed.
TPROXY loendur võib kasvada, samal ajal kui rakendus ei saa midagi. Reegel klappis, kuid kohalik tarne sõltub endiselt poliitikamarsruutimisest ja sobivast vastuvõtvast soklist.
Linux TPROXY suudab liiklust püüda ilma sihtkohta ümber kirjutamata, nagu teeb DNAT. Seetõttu peavad mittekohalikule sihtkohale adresseeritud paketid jõudma sobiva kohaliku soklini.
Jälgige tarne teed
- Liiklus jõuab püüdmise hostini kavandatud liidese ja aadressiperekonna kaudu.
- Püüdmisreegel ja paketi märge määravad kohaliku tarne poliitika.
- Sobiv poliitikareegel valib marsruudi, mis toimetab paketid kohale kohalikult.
- Puhverserver kasutab toetatud läbipaistvat kuulajat vajaliku sokli valikuga.
Tuuma IPv4 näide nõuab rakenduse tuge IP_TRANSPARENT jaoks. Tavaline kuulaja samal pordil või globaalne mittekohaliku sidumise säte ei tõenda seda tuge.
| Vaatlus | Järgmine kontroll |
|---|---|
| Asjakohaseid sissetulevaid pakette pole | Liiklustee ja sisendliides |
| Paketid saabuvad; püüdmisloendur ei liigu | Aadressiperekond, ahel ja klappimistingimused |
| Reegel klapib; kohalik tarne ebaõnnestub | Märge ja poliitikamarsruudi valik |
| Sokkel kuulab; rakendus ei näe midagi | Läbipaistva sokli võimekus ja kuulaja omanik |
| Päring algab; hilisemad vastused ebaõnnestuvad | Loodud sokli klappimine ja tagasimarsruudid |
Hoidke laaditud konfiguratsioon ja võrgu nimeruum iga vaatluse juures. Hilisem reegel võib märke üle kirjutada või valida teise marsruudi. Kui püüdmine toimub hostil, samal ajal kui kuulaja töötab konteineris, ei toimeta kehtiv hosti kohalik marsruut automaatselt sellesse konteinerisse.
Arvestage hilisemate pakettidega
Tuuma näide sisaldab sokli klappimist ja DIVERT teed, mis märgistab läbipaistvate sokkide pakette. Selle väljajätmine võib jätta hilisema liikluse teisele teele ka siis, kui esmane püüdmine õnnestub.
Kasutage rakenduse toetatud läbipaistvat režiimi ja iga aadressiperekonna jaoks sobivat tuuma dokumentatsiooni. IPv4 kohaliku marsruudi käsk ei seadista IPv6-te ning ühe perekonna tugi ei tõenda teise sokli käitumist.
TPROXY ei tekita ka SOCKS läbirääkimist. Läbipaistvast SOCKS-iks komponent peab endiselt sihtkoha avastama ja oma ülemvooluga läbi rääkima.
Üleminek REDIRECT-ilt
Kirjutage üles, kuidas olemasolev rakendus algse sihtkoha saab. REDIRECT muudab sihtkohta ja toetub sobivale taastamismehhanismile; TPROXY vajab oma läbipaistvat soklit ja marsruudikorraldust. Valige rakenduse ja lähteaadressi poliitika järgi.
Enne püüdmisrežiimi muutmist siduge loendurid valitud marsruudi, sokli võimekuse ja rakenduse logiga. Vajalikke vahendeid pakkuvas distributsioonis on puuduv tarneaste parem lähtepunkt kui tuuma uuesti kompileerimine.