iptables によるプロキシ傍受：ポート 80 と 443 を一つの集合として照合する
ポート 80 と 443 を一つの集合として照合し、クライアントアドレスの選択はプロキシが書き換える宛先とは別に保ちます。
宛先ポートが 80 または 443 の TCP トラフィックを選ぶには、集合を使います。
-p tcp -m multiport --dports 80,443これに対して --dport 80:443 は 80 から 443 までの範囲全体を両端も含めて選びます。そのため余分なポートも数多く拾ってしまいます。カンマとコロンは異なる方針を表しています。
これらは照合の断片であり、完全なファイアウォールコマンドではありません。傍受の設計が求めるチェーンとアクションに加えてください。
| セレクタ | 書き換え前に何を識別するか |
|---|---|
-s 192.0.2.20 | クライアントの送信元アドレス |
-d 198.51.100.30 | 宛先サーバーのアドレス |
--dports 80,443 | 宛先のサービス ポート |
DNAT の --to-destination に与えるアドレスは新しい宛先であり、たとえばプロキシの待ち受けです。これは先行する送信元と宛先の照合の意味を置き換えるものではありません。
セレクタは、想定するクライアントとトラフィックを表せる程度に狭く保ってください。とくに プロキシ自身が作る接続 を考慮し、その先の要求が同じ傍受経路に再び入らないようにします。443 番ポートを選んでも、その接続のバイト列が明示的な HTTP プロキシ要求に変わるわけではありません。受け取るアプリケーションには依然として適切な傍受方式が必要です。TCP を透過的にプロキシへ転送するには、変換側が元の宛先を復元し、プロキシプロトコルを折衝する必要があります。