Proxy gardeneko DNAT: zergatik du garrantzia itzulera-bideak
Ulertu zergatik DNAT-ek eskaera proxy bereizi batera eraman dezakeen erantzunak atebidea saihestu eta konexioa hausten duen bitartean.
Birbideratutako SYN bat Squidera irits daiteke bezeroa oraindik denbora-mugan dagoen bitartean. DNAT ezarpen batean, itzulera-paketeak translazio-egoera duen atebidea ere iritsi behar du.
Kontuan hartu LAN hipotetiko hau:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyBezeroa hasieran webgune-helbide batera konektatu zen. DNAT ondoren, proxyak bezeroaren jatorria ikusten du eta tokiko azpisarearen bidea erabil dezake zuzenean erantzuteko. Erantzun horrek atebidearen alderantzizko translazioa saihesten du eta bezeroarengana proxy-helbidetik irits daiteke, esperotako webgune-helbidetik beharrean. Atebideak ezin ditu inoiz jaso ez dituen paketeak konpondu.
| Ikuspegia | Ondorioa |
|---|---|
| Proxyaren erantzunak translazioa egiten duen atebidetik bideratzea | Sarrerako proxy-konexioak bezeroaren jatorrizko helbidea gorde dezake |
| Jatorrizko translazio egokia ere aplikatzea | Proxyak atebideari bere pare gisa erantzuten dio, baina orain itzulitako jatorri hori ikusten du jatorrizko bezeroaren ordez |
Ez kendu SNAT erregistro politagoen truke itzulera-bidea egiaztatu gabe. Zabal erabiltzeak jatorrizko ACLak eta esleipena ere aldatzen ditu; onartu ondorio hori diseinuaren parte gisa.
Konfiantzazko HTTP jauzi batek bezeroaren metadatuak birbidaltze-goiburuan transmititu ditzake, baina NATek ez du goiburu hori sortzen ezta TCP pare-identitate bihurtzen ere. Jatorria Squiderako konexioan gordetzeak ez du Squiden webgunearekiko konexio bereizian gordetzen.
Azkenik, atzemate-diseinuak oraindik Squidek behar duen helmuga-informazioa eman behar du. Itzulera-bide simetrikoak denbora-muga mekanismo hau konpontzen du, ez proxy gardenaren konfigurazio osoa.