Läbipaistev puhverserver DNAT: miks on tagasitee oluline
Mõistke, miks DNAT võib päringu jõuda eraldi puhverserverisse, samal ajal kui vastus möödub lüüsist ja ühendus katkeb.
Ümbersuunatud SYN võib jõuda Squidi, samal ajal kui klient ikka aegub. DNAT-i seadistuses peab ka tagasipakkett jõudma lüüsi, mis haldab tõlke olekut.
Mõelge sellele hüpoteetilisele LAN-ile:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyKlient ühendus algselt veebisaidi aadressiga. Pärast DNAT-i näeb puhverserver kliendi allikat ja võib vastata otse kohaliku alamvõrgu marsruudi kaudu. See vastus jätab lüüsi pöördtõlke vahele ja võib jõuda kliendini puhverserveri aadressilt oodatud veebisaidi aadressi asemel. Lüüs ei saa parandada pakette, mida ta kunagi ei saa.
| Lähenemine | Tagajärg |
|---|---|
| Puhverserveri vastuste suunamine tõlkiva lüüsi kaudu | Sisenev puhverserveri ühendus võib säilitada kliendi allikaaadressi |
| Ka sobiva allikatõlke rakendamine | Puhverserver vastab lüüsile kui oma partnerile, kuid näeb nüüd seda tõlgitud allikat algse kliendi asemel |
Ärge eemaldage SNAT-i ilusamate logide nimel ilma tagasiteed kontrollimata. Selle laialdane rakendamine muudab ka allika ACL-e ja omistamist; aktsepteerige seda tagajärge disaini osana.
Usaldusväärne HTTP-hüpe võib edastada kliendi metaandmeid edastuspäises, kuid NAT ei loo seda päist ega muuda seda TCP-kaaslase identiteediks. Allika hoidmine Squidi suunduvas ühenduses ei hoia seda ka Squidi eraldi veebisaidi ühenduses.
Lõpuks peab pealtkuulamise disain siiski pakkuma Squidi nõutavat sihtkoha teavet. Sümmeetriline tagasimarsruutimine lahendab selle aegumismehhanismi, mitte kogu läbipaistva puhverserveri konfiguratsiooni.