In TPROXY-pakket folgje oant de socket
Kontrolearje de ûntfangende socket, it pakketmark en de lokale beliedsroete as ien leveringspaad fan in transparante proxy.
In TPROXY-teller kin tanimme wylst de applikaasje neat ûntfangt. De regel kaam oerien, mar lokale levering hinget noch altyd ôf fan beliedsrouting en in kompatibele ûntfangende socket.
Linux TPROXY kin ferkear ûnderskeppe sûnder de bestimming te werôf te skriuwen lykas DNAT docht. Pakketten nei in net-lokale bestimming moatte dêrom in geskikte lokale socket berikke.
Folgje it leveringspaad
- Ferkear berikt de ûnderskeppingshost op de bedoelde ynterface en adresfamylje.
- De ûnderskeppingsregel en it pakketmark bepale it belied foar lokale levering.
- In oerienkommende beliedsregel kiest in roete dy't de pakketten lokaal leveret.
- De proxy brûkt in stipe transparante listener mei de fereaske socket-opsje.
It IPv4-foarbyld fan de kernel freget applikaasjestipe foar IP_TRANSPARENT. In gewoane listener op deselde poarte, of in globale net-lokale bindynstelling, bewiist dy stipe net.
| Waarnimming | Folgjende kontrôle |
|---|---|
| Gjin relevante ynkommende pakketten | Ferkearspaad en ynfierinterface |
| Pakketten komme; de ûnderskeppingsteller stiet stil | Adresfamylje, keatling en oerienkommende betingsten |
| Regel komt oerien; lokale levering mislearret | Mark en kar fan beliedsroete |
| Socket harket; applikaasje sjocht neat | Transparante socket-mooglikheid en eigner fan de listener |
| Oanfraach begjint; lettere antwurden mislearje | Oerienkomst fan fêstige socket en weromroetes |
Bewarje de laden konfiguraasje en de netwurknammeromte by elke waarnimming. In lettere regel kin in mark oerskriuwe of in oare roete kieze. As ûnderskepping op de host bart wylst de listener yn in container rint, leveret in jildige host-lokale roete net automatysk yn dy container.
Rekkenje op lettere pakketten
It kernfoarbyld befettet socket-oerienkomst en in DIVERT-paad dat pakketten fan transparante sockets markearret. Lit jo dat weil, dan kin letter ferkear op in oar paad bliuwe, sels as de earste ûnderskepping slagget.
Brûk de stipe transparante modus fan de applikaasje en de oerienkommende kernedokumintaasje foar elke adresfamylje. In IPv4-opdracht foar lokale roete konfigurearret gjin IPv6, en stipe yn ien famylje bewiist it socket-gedrach fan de oare net.
TPROXY makket ek gjin SOCKS-ûnderhanneling. In komponint fan transparant nei SOCKS moat noch altyd de bestimming ûntdekke en mei syn upstream ûnderhannelje.
Oerstappe fan REDIRECT
Skriuw op hoe't de besteande applikaasje de oarspronklike bestimming krijt. REDIRECT feroaret de bestimming en fertrout op it passende werstelmechanisme; TPROXY hat syn transparante socket en routing-opset nedich. Kies neffens de applikaasje en it belied foar boarneadres.
Keppel tellers oan de keazen roete, de socket-mooglikheid en it applikaasjelog foar't jo de ûnderskeppingsmodus feroarje. Op in distribúsje dat de nedige middels leveret, is in ûntbrekkende leveringsstap in better útgongspunt as it opnij kompilearjen fan de kernel.