Gegnsæ DNAT milliþjóns: hvers vegna afturleiðin skiptir máli
Skildu hvers vegna DNAT getur skilað beiðni til sérstaks milliþjóns á meðan svarið fer fram hjá gáttinni og rýfur tenginguna.
Beint SYN getur borist til Squid á meðan biðlarinn fær enn tímanúll. Í DNAT uppsetningu verður afturpakkinn líka að ná til gáttarinnar sem á þýðingastöðuna.
Líttu á þetta tilgátu LAN:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyBiðlarinn tengdist upphaflega veffangslóð. Eftir DNAT sér milliþjónninn uppruna biðlarans og getur notað leið staðbundins undirnets til að svara beint. Það svar sleppir öfugri þýðingu gáttarinnar og getur náð til biðlarans frá milliþjónsfanginu í stað vænts veffangssins. Gáttin getur ekki lagað pakka sem hún fær aldrei.
| Nálgun | Afleiðing |
|---|---|
| Leiða svör milliþjónsins í gegnum þýðandi gáttina | Innkomandi tenging til milliþjónsins getur varðveitt upprunafang biðlarans |
| Beita einnig viðeigandi upprunabýðingu | Milliþjónninn svarar gáttinni sem jafningja sínum, en sér nú þann þýdda uppruna í stað upprunalega biðlarans |
Fjarlægðu ekki SNAT fyrir fallegri annála án þess að staðfesta afturleiðina. Víðtæk notkun breytir líka upprunalegum ACL og eignun; samþykktu þá afleiðingu sem hluta af hönnuninni.
Traust HTTP hopp getur flutt lýsigögn biðlarans í framsendingarhaus, en NAT býr ekki til þann haus né gerir hann að TCP-jafningjaauðkenni. Að varðveita uppruna á tengingunni til Squid varðveitir hann ekki á sérstakri vefsíðutengingu Squid heldur.
Að lokum verður afhlífunarhönnunin enn að veita þær áfangaupplýsingar sem Squid krefst. Samhverf afturleiðarleiðsla leysir þessa tímanúllshegðun, ekki alla gegnsæju milliþjónsuppsetninguna.