Átlátszó proxy DNAT: miért számít a visszatérő útvonal
Értse meg, miért tud a DNAT egy kérést külön proxyhoz eljuttatni, miközben a válasz megkerüli az átjárót és megszakítja a kapcsolatot.
Egy átirányított SYN eljuthat a Squidhoz, miközben az ügyfél még időtúllépést kap. DNAT-beállításnál a visszatérő csomagnak is el kell jutnia ahhoz az átjáróhoz, amely a fordítási állapotot birtokolja.
Vegyük ezt a hipotetikus LAN-t:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyAz ügyfél eredetileg egy webhely-címhez kapcsolódott. DNAT után a proxy látja az ügyfél forrását, és a helyi alhálózati útvonalat használva közvetlenül válaszolhat. Ez a válasz kihagyja az átjáró fordított fordítását, és az elvárt webhely-cím helyett a proxy címéről érheti el az ügyfelet. Az átjáró nem tudja megjavítani azokat a csomagokat, amelyeket soha nem kap meg.
| Megközelítés | Következmény |
|---|---|
| A proxy válaszainak átvezetése a fordító átjárón | A bejövő proxy-kapcsolat megőrizheti az ügyfél forráscímét |
| Megfelelő forrásfordítás alkalmazása is | A proxy az átjárónak mint partnerének válaszol, de most azt a lefordított forrást látja az eredeti ügyfél helyett |
Ne távolítsa el az SNAT-ot szebb naplókért a visszatérő útvonal ellenőrzése nélkül. Széles körű alkalmazása a forrás-ACL-okat és a hozzárendelést is megváltoztatja; fogadja el ezt a következményt a tervezés részeként.
Egy megbízható HTTP-ugrás továbbíthatja az ügyfél metaadatait egy továbbítási fejlécben, de a NAT nem hozza létre azt a fejlécet, és nem alakítja TCP-partner identitássá. A forrás megőrzése a Squid felé menő kapcsolaton nem őrzi meg a Squid külön webhely-kapcsolatán sem.
Végül az elfogási tervnek továbbra is biztosítania kell a Squid által igényelt céladatokat. A szimmetrikus visszatérő útvonalválasztás ezt az időtúllépési mechanizmust oldja meg, nem a teljes átlátszó proxy konfigurációt.