Transparante proxy-DNAT: wêrom't de weromrûte fan belang is
Begryp wêrom't DNAT in fersyk oan in aparte proxy leverje kin wylst it antwurd it gateway foarby giet en de ferbining brekt.
In omleide SYN kin by Squid oankomme wylst de klient noch in time-out krijt. Yn in DNAT-opset moat it werompakket ek it gateway berikke dat de oersettingsteat hat.
Tink oan dit hypotetyske LAN:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyDe klient ferbûn earst mei in webside-adres. Nei DNAT sjocht de proxy de boarne fan de klient en kin de lokale subnetrûte brûke om direkt te antwurdzjen. Dat antwurd mist de omkearde oersetting fan it gateway en kin de klient fan it proxy-adres berikke ynstee fan it ferwachte webside-adres. It gateway kin pakketten net reparearje dy't it nea krijt.
| Oanpak | Gefolch |
|---|---|
| Antwurden fan de proxy troch it oersettende gateway liede | De ynkommende proxy-ferbining kin it boarne-adres fan de klient behâlde |
| Ek passende boarne-oersetting tapasse | De proxy antwurdet it gateway as syn peer, mar sjocht no dy oersette boarne ynstee fan de oarspronklike klient |
Ferwiderje SNAT net foar moaiere logs sûnder de weromrûte te ferifiearjen. Breed tapasse feroaret ek boarne-ACL's en taskriuwings; akseptearje dat gefolch as part fan it ûntwerp.
In fertroude HTTP-hop kin klientmetadata yn in troerstjoer-header oerbringe, mar NAT makket dy header net en makket der gjin TCP-peer-identiteit fan. In boarne behâlde op 'e ferbining nei Squid behâldt it ek net op Squid syn aparte webside-ferbining.
Ta beslút moat it ûnderskeppingsûntwerp noch de troch Squid fereaske bestimmingynformaasje leverje. Symmetryske weromrouting lost dit time-outmeganisme op, net de hiele transparante-proxy-konfiguraasje.