iptables 프록시 가로채기: 포트 80과 443을 하나의 집합으로
포트 80과 443을 하나의 집합으로 맞추고, 클라이언트 주소 선택은 프록시가 다시 쓴 목적지와 분리해 두십시오.
목적지 포트가 80 또는 443인 TCP 트래픽을 고르려면 집합을 사용하십시오:
-p tcp -m multiport --dports 80,443이와 달리 --dport 80:443 은 80부터 443까지의 범위 전체를 양 끝을 포함해 고릅니다. 그래서 불필요한 포트가 많이 함께 잡힙니다. 쉼표와 콜론은 서로 다른 정책을 뜻합니다.
이것들은 일치 조각이며 완전한 방화벽 명령이 아닙니다. 가로채기 설계가 요구하는 체인과 동작에 이 조각들을 넣으십시오.
| 선택자 | 다시 쓰기 전에 식별하는 대상 |
|---|---|
-s 192.0.2.20 | 클라이언트의 출발지 주소 |
-d 198.51.100.30 | 목적지 서버의 주소 |
--dports 80,443 | 목적지의 서비스 포트 |
DNAT의 --to-destination 에 주는 주소가 새 목적지입니다. 예를 들어 프록시의 수신 대기 지점입니다. 이 주소는 앞선 출발지와 목적지 일치의 의미를 대신하지 않습니다.
선택자는 의도한 클라이언트와 트래픽을 설명할 만큼 좁게 유지하십시오. 특히 프록시 자체가 만드는 연결을 고려해, 그 뒤의 요청이 같은 가로채기 경로로 다시 들어가지 않게 하십시오. 443 포트를 고른다고 해서 그 연결의 바이트가 명시적 HTTP 프록시 요청으로 바뀌지는 않습니다. 받는 응용 프로그램에는 여전히 알맞은 가로채기 방식이 필요합니다. TCP를 프록시로 투명하게 넘기려면 변환기가 원래 목적지를 되찾고 프록시 프로토콜을 협상해야 합니다.