יירוט פרוקסי עם iptables: פורטים 80 ו-443 כקבוצה אחת

כדי לבחור תעבורת TCP שפורט היעד שלה הוא 80 או 443, השתמשו בקבוצה:

-p tcp -m multiport --dports 80,443

לעומת זאת, --dport 80:443 בוחר את כל הטווח מ-80 עד 443 כולל. כך נתפסים פורטים נוספים רבים. הפסיק והנקודתיים מבטאים מדיניות שונה.

אלה קטעי התאמה, לא פקודות חומת אש שלמות. הוסיפו אותם לשרשרת ולפעולה שדורשת תכנון היירוט.

הכתובת שנמסרת ל---to-destination של DNAT היא היעד החדש, למשל מאזין הפרוקסי. היא אינה מחליפה את המשמעות של התאמות המקור והיעד שקדמו לה.

השאירו את הבורר צר מספיק כדי לתאר את הלקוחות והתעבורה המיועדים. במיוחד התחשבו בחיבורים שהפרוקסי עצמו יוצר, כדי שהבקשות הבאות שלו לא ייכנסו שוב לאותה דרך יירוט. בחירת פורט 443 גם אינה הופכת את הבתים באותו חיבור לבקשת פרוקסי HTTP מפורשת; היישום המקבל עדיין זקוק למצב היירוט המתאים. להעברה שקופה של TCP אל פרוקסי, המתרגם חייב לשחזר את היעד המקורי ולנהל משא ומתן על פרוטוקול הפרוקסי.