Мөлдір прокси DNAT: қайтару бағыты неге маңызды
DNAT сұрауды бөлек проксиге жеткізе алатынын, бірақ жауап шлюзді айналып өтіп, қосылымды үзетінін түсініңіз.
Бағытталған SYN Squid-ке жетуі мүмкін, ал клиент әлі де күту мерзіміне тап болады. DNAT конфигурациясында қайтару пакеті де трансляция күйін ұстайтын шлюзге жетуі керек.
Мына болжамды LAN-ды қарастырыңыз:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyКлиент әуелде веб-сайт мекенжайына қосылды. DNAT-тан кейін прокси клиенттің көзін көреді және жергілікті ішкі желі бағытын пайдаланып тікелей жауап бере алады. Бұл жауап шлюздің кері трансляциясын өткізіп жібереді және күтілетін веб-сайт мекенжайының орнына прокси мекенжайынан клиентке жетуі мүмкін. Шлюз ешқашан алмаған пакеттерді түзете алмайды.
| Тәсіл | Салдар |
|---|---|
| Прокси жауаптарын аударатын шлюз арқылы өткізу | Проксиге кірме қосылым клиенттің бастапқы мекенжайын сақтай алады |
| Тиісті көз трансляциясын да қолдану | Прокси шлюзге өзінің серіктесі ретінде жауап береді, бірақ енді бастапқы клиенттің орнына сол аударылған көзді көреді |
Әдемі журналдар үшін SNAT-ты қайтару бағытын тексермей алып тастамаңыз. Оны кеңінен қолдану көз ACL-терін және тіркеуді де өзгертеді; бұл салдарды дизайнның бөлігі ретінде қабылдаңыз.
Сенімді HTTP секірісі клиент метадеректерін жіберу тақырыбында жеткізе алады, бірақ NAT бұл тақырыпты жасамайды және оны TCP серіктес бірегейлігіне айналдырмайды. Көзді Squid-ке қосылымда сақтау оны Squid-тің жеке веб-сайт қосылымында да сақтамайды.
Соңында, ұстап қалу дизайны әлі де Squid қажет ететін мақсат ақпаратын қамтамасыз етуі керек. Симметриялы қайтару маршруттауы осы күту механизмін шешеді, бүкіл мөлдір прокси конфигурациясын емес.