Ачык прокси DNAT: кайтаруу жолу эмне үчүн маанилүү
DNAT сурамды өзүнчө проксиге жеткире аларын, бирок жооп дарбазаны айланып өтүп, байланышты үзөрүн түшүнүңүз.
Багытталган SYN Squid'ге жетиши мүмкүн, ал эми кардар дагы эле күтүү мөөнөтүнө туш болот. DNAT жөндөөсүндө кайтаруу пакети да трансляция абалын кармаган дарбазага жетүүгө тийиш.
Бул божомолдонгон LAN'ды карап көрүңүз:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyКардар башында веб-сайт дарегине туташкан. DNAT'тан кийин прокси кардардын булагын көрөт жана жергиликтүү ички тармактын жолун колдонуп түз жооп бере алат. Ал жооп дарбазанын тескери трансляциясын өткөрүп жиберет жана күтүлгөн веб-сайт дарегинин ордуна прокси дарегинен кардарга жетүүсү мүмкүн. Дарбаза эч качан албаган пакеттерди оңдой албайт.
| Ыкма | Натыйжа |
|---|---|
| Проксинин жоопторун которгон дарбаза аркылуу өткөрүү | Проксиге кирүүчү байланыш кардардын булак дарегин сактай алат |
| Тиешелүү булак трансляциясын да колдонуу | Прокси дарбазага өзүнүн өнөктөшү катары жооп берет, бирок азыр баштапкы кардардын ордуна ошол которулган булакты көрөт |
Кооз журналдар үчүн SNAT'ты кайтаруу жолун текшербей туруп алып салбаңыз. Аны кеңири колдонуу булак ACL'дерин жана таандыктыкты да өзгөртөт; бул натыйжаны долбоордун бөлүгү катары кабыл алыңыз.
Ишенимдүү HTTP секирик кардар метаберилишин жөнөтүү аталышында жеткире алат, бирок NAT ал аталышты түзбөйт жана аны TCP өнөктөш кимдигине айландырбайт. Булакты Squid'ге болгон байланышта сактоо аны Squid'дин өзүнчө веб-сайт байланышында да сактабайт.
Акырында, кармоо долбоору дагы эле Squid талап кылган багыт маалыматын камсыз кылышы керек. Симметриялык кайтаруу маршруттоосу ушул күтүү механизмин чечет, бүт ачык прокси конфигурациясын эмес.