Läpinäkyvä välityspalvelin-DNAT: miksi paluureitti ratkaisee
Ymmärrä, miksi DNAT voi toimittaa pyynnön erilliselle välityspalvelimelle, kun vastaus ohittaa yhdyskäytävän ja yhteys katkeaa.
Uudelleenohjattu SYN voi saapua Squidiin, vaikka asiakas yhä aikakatkaisee. DNAT-kokoonpanossa myös paluupaketin on saavutettava yhdyskäytävä, joka omistaa käännöksen tilan.
Tarkastele tätä hypoteettista lähiverkkoa:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyAsiakas yhdisti alun perin verkkosivuston osoitteeseen. DNAT:n jälkeen välityspalvelin näkee asiakkaan lähteen ja voi vastata suoraan paikallisen aliverkon reitin kautta. Tämä vastaus ohittaa yhdyskäytävän käänteisen käännöksen ja voi saavuttaa asiakkaan välityspalvelimen osoitteesta odotetun verkkosivuston osoitteen sijaan. Yhdyskäytävä ei voi korjata paketteja, joita se ei koskaan saa.
| Lähestymistapa | Seuraus |
|---|---|
| Ohjaa välityspalvelimen vastaukset käännöksen tekevän yhdyskäytävän kautta | Saapuva välityspalvelinyhteys voi säilyttää asiakkaan lähdeosoitteen |
| Käytä myös sopivaa lähdekäännöstä | Välityspalvelin vastaa yhdyskäytävälle vertaisenaan, mutta näkee nyt alkuperäisen asiakkaan sijaan kyseisen käännetyn lähteen |
Älä poista SNAT:ia siistimpien lokien takia tarkistamatta paluureittiä. Sen laaja käyttö muuttaa myös lähteen ACL:ia ja kohdistusta; hyväksy tämä seuraus osana suunnittelua.
Luotettu HTTP-hyppy voi välittää asiakkaan metatiedot edelleenohjausotsakkeessa, mutta NAT ei luo sitä otsaketta eikä muuta sitä TCP-vastapuolen identiteetiksi. Lähteen säilyttäminen Squidiin menevässä yhteydessä ei säilytä sitä myöskään Squidin erillisessä verkkosivuyhteydessä.
Lopuksi sieppausratkaisun on yhä tarjottava Squidin vaatimat kohdetiedot. Symmetrinen paluureititys ratkaisee tämän aikakatkaisumekanismin, ei koko läpinäkyvän välityspalvelimen kokoonpanoa.