Interceptación de proxy con iptables: portos 80 e 443 como un conxunto
Combina os portos 80 e 443 como un conxunto e mantén a escolla do enderezo do cliente separada do destino reescrito polo proxy.
Para seleccionar o tráfico TCP cuxo porto de destino é 80 ou 443, usa un conxunto:
-p tcp -m multiport --dports 80,443Pola contra, --dport 80:443 selecciona todo o rango de 80 a 443, ambos incluídos. Iso captura moitos portos adicionais. A coma e os dous puntos expresan políticas distintas.
Estes son fragmentos de coincidencia, non ordes de devasas completas. Engádeos á cadea e á acción que esixe o deseño de interceptación.
| Selector | Que identifica antes da reescritura |
|---|---|
-s 192.0.2.20 | O enderezo de orixe do cliente |
-d 198.51.100.30 | O enderezo do servidor de destino |
--dports 80,443 | Os portos de servizo de destino |
O enderezo que recibe o --to-destination de DNAT é o destino novo, por exemplo o receptor do proxy. Non substitúe o significado das coincidencias anteriores de orixe e destino.
Mantén o selector abondo estreito para describir os clientes e o tráfico previstos. En particular, ten en conta as conexións que xera o propio proxy, para que as súas peticións posteriores non volvan entrar na mesma ruta de interceptación. Escoller o porto 443 tampouco converte os bytes desa conexión nunha petición explícita a un proxy HTTP; a aplicación receptora segue necesitando o modo de interceptación axeitado. Para o reenvío transparente de TCP a un proxy, o tradutor debe recuperar o destino orixinal e negociar o protocolo do proxy.