מעקב אחר חבילת TPROXY עד השקע
בדקו את שקע הקליטה, סימון החבילה ונתיב המדיניות המקומי כנתיב מסירה אחד של פרוקסי שקוף.
מונה TPROXY יכול לעלות בעוד היישום לא מקבל דבר. הכלל התאים, אבל המסירה המקומית עדיין תלויה בניתוב מדיניות ובשקע קליטה תואם.
TPROXY בלינוקס יכול ליירט תעבורה בלי לשכתב את היעד כפי ש-DNAT עושה. לכן חבילות המכוונות ליעד לא מקומי חייבות להגיע לשקע מקומי מתאים.
עקבו אחר נתיב המסירה
- התעבורה מגיעה למארח היירוט בממשק ובמשפחת הכתובות המיועדים.
- כלל היירוט וסימון החבילה מזהים את מדיניות המסירה המקומית.
- כלל מדיניות תואם בוחר נתיב שמעביר את החבילות מקומית.
- הפרוקסי משתמש במאזין שקוף נתמך עם אפשרות השקע הנדרשת.
הדוגמה של IPv4 בגרעין דורשת תמיכת יישום ב-IP_TRANSPARENT. מאזין רגיל באותו פורט, או הגדרת כריכה לא מקומית גלובלית, אינו מוכיח תמיכה כזו.
| תצפית | הבדיקה הבאה |
|---|---|
| אין חבילות נכנסות רלוונטיות | נתיב התעבורה וממשק הקלט |
| חבילות מגיעות; מונה היירוט לא זז | משפחת כתובות, שרשרת ותנאי התאמה |
| הכלל מתאים; המסירה המקומית נכשלת | סימון ובחירת נתיב מדיניות |
| השקע מאזין; היישום לא רואה דבר | יכולת שקע שקוף ובעל המאזין |
| הבקשה מתחילה; תגובות מאוחרות נכשלות | התאמת שקע מבוסס ונתיבי חזרה |
שמרו את התצורה הטעונה ומרחב השמות של הרשת עם כל תצפית. כלל מאוחר יותר יכול לדרוס סימון או לבחור נתיב אחר. אם היירוט מתרחש במארח בעוד המאזין רץ במכולה, נתיב מקומי תקף של המארח לא מוסר אוטומטית לתוך אותה מכולה.
חשבו את החבילות המאוחרות
הדוגמה בגרעין כוללת התאמת שקע ונתיב DIVERT שמסמן חבילות של שקעים שקופים. השמטתו עלולה להשאיר תעבורה מאוחרת בנתיב אחר גם כשההירוט הראשוני מצליח.
השתמשו במצב השקוף הנתמך על ידי היישום ובתיעוד הגרעין המתאים לכל משפחת כתובות. פקודת נתיב מקומי של IPv4 לא מגדירה IPv6, ותמיכה במשפחה אחת לא מוכיחה את התנהגות השקע של האחרת.
TPROXY גם לא מייצר משא ומתן SOCKS. רכיב משקוף ל-SOCKS עדיין חייב לגלות את היעד ולנהל משא ומתן עם מקור המעלה שלו.
מעבר מ-REDIRECT
תעדו כיצד היישום הקיים משיג את היעד המקורי. REDIRECT משנה את היעד ונשען על מנגנון השחזור המתאים; TPROXY זקוק לשקע השקוף ולסידור הניתוב שלו. בחרו לפי היישום ומדיניות כתובת המקור.
חברו את המונים לנתיב הנבחר, ליכולת השקע וללוג היישום לפני שינוי מצבי היירוט. בהפצה המספקת את האמצעים הנדרשים, שלב מסירה חסר הוא נקודת פתיחה טובה יותר מהידור מחדש של הגרעין.