رهگیری پراکسی با iptables: تطبیق پورت‌های 80 و 443 به‌صورت یک مجموعه
پورت‌های 80 و 443 را به‌صورت یک مجموعه تطبیق دهید و انتخاب نشانی مشتری را از مقصد بازنویسی‌شده پراکسی جدا نگه دارید.
برای گزینش ترافیک TCP که پورت مقصدش 80 یا 443 است، از یک مجموعه استفاده کنید:
-p tcp -m multiport --dports 80,443در مقابل، --dport 80:443 کل بازه 80 تا 443 را با هر دو سر شامل می‌شود. این کار پورت‌های اضافی بسیاری را هم می‌گیرد. ویرگول و دونقطه دو سیاست متفاوت را بیان می‌کنند.
این‌ها قطعه‌های تطبیق‌اند، نه فرمان‌های کامل دیوار آتش. آن‌ها را به زنجیره و کنشی که طراحی رهگیری می‌خواهد بیفزایید.
| گزینشگر | پیش از بازنویسی چه چیزی را مشخص می‌کند |
|---|---|
-s 192.0.2.20 | نشانی مبدأ مشتری |
-d 198.51.100.30 | نشانی کارساز مقصد |
--dports 80,443 | پورت‌های سرویس مقصد |
نشانی که به --to-destination در DNAT داده می‌شود مقصد تازه است، مانند شنونده پراکسی. این نشانی معنای تطبیق‌های پیشین مبدأ و مقصد را جایگزین نمی‌کند.
گزینشگر را به‌اندازه‌ای باریک نگه دارید که مشتریان و ترافیک موردنظر را توصیف کند. به‌ویژه اتصال‌هایی را که خود پراکسی می‌سازد در نظر بگیرید تا درخواست‌های بعدی‌اش دوباره به همان مسیر رهگیری برنگردند. گزینش پورت 443 هم بایت‌های آن اتصال را به درخواست صریح پراکسی HTTP تبدیل نمی‌کند؛ برنامه گیرنده همچنان به حالت رهگیری مناسب نیاز دارد. برای ارسال شفاف TCP به پراکسی، مترجم باید مقصد اصلی را بازیابی کند و پروتکل پراکسی را مذاکره کند.