En TPROXY-Paket bis an de Socket verfollegen
Préift den Empfangssocket, de Paketsmark a lokal Policy-Route als ee Liwwerwee vun engem transparente Proxy.
En TPROXY-Compteur kann klammen, während d'Applikatioun näischt kritt. D'Regel huet gepasst, awer d'lokal Liwwerung hänkt nach ëmmer vum Policy-Routing an engem kompatibelen Empfangssocket of.
Linux TPROXY kann Traffic oflauschteren, ouni d'Destinatioun ëmzeschreiwen, wéi et DNAT mécht. Dofir mussen d'Paketen, déi un eng net-lokal Destinatioun adresséiert sinn, en entspriechende lokale Socket erreechen.
Follegt de Liwwerwee
- Den Traffic erreecht den Oflauschhost iwwer déi virgesinn Interface an Adressfamill.
- D'Oflauschregel an de Paketsmark bestëmmen d'Politik fir lokal Liwwerung.
- Eng entspriechend Policy-Regel wielt eng Route, déi d'Paketen lokal liwwert.
- De Proxy benotzt en ënnerstëtzten transparenten Nolauschterer mat der néideger Socketoptioun.
D'IPv4-Beispill vum Kernel erfuerdert Applikatiounsënnerstëtzung fir IP_TRANSPARENT. En normale Nolauschterer um selwechte Port, oder eng global net-lokal Bind-Astellung, beweiseet déi Ënnerstëtzung net.
| Observatioun | Nächst Kontroll |
|---|---|
| Keng relevant ingress-Paketen | Trafficwee an Input-Interface |
| Pakete kommen un; den Oflauschcompteur steet nach | Adressfamill, Kette a passende Konditiounen |
| D'Regel passt; lokal Liwwerung feelt | Mark an Auswiel vun der Policy-Route |
| De Socket lauschtert; d'Applikatioun gesäit näischt | Transparent Socketfäegkeet an den Eegentemer vum Nolauschterer |
| D'Ufro fänkt un; spéider Äntwerten feelen | Match vum etabléierte Socket a Retourrouten |
Halt d'geluede Konfiguratioun an den Netzwierknammraum bei all Observatioun fest. Eng spéider Regel kann e Mark iwwerschreiwen oder eng aner Route wielen. Wann d'Oflauschterung um Host geschitt, während den Nolauschterer an engem Container leeft, liwwert eng gëlteg hostlokal Route net automatesch an deen Container.
Rechent mat spéidere Paketen
D'Kernelbeispill enthält Socketmatch an e DIVERT-Wee, dee Paketen vun transparente Sockelen markéiert. Wann een dat ewechléisst, kann de spéideren Traffic op engem anere Wee bleiwen, och wann déi éischt Oflauschterung geléngt.
Benotzt den ënnerstëtzten transparente Modus vun der Applikatioun an déi entspriechend Kerneldokumentatioun fir all Adressfamill. En IPv4-Befehl fir déi lokal Route konfiguréiert keen IPv6, an Ënnerstëtzung an enger Famill beweiseet net d'Socketverhalen vun der anerer.
TPROXY generéiert och keng SOCKS-Verhandlung. Eng Komponent vun transparent op SOCKS muss nach ëmmer d'Destinatioun entdecken an mat sengem Upstream verhandelen.
Vum REDIRECT wechseln
Notéiert, wéi déi existent Applikatioun d'Originaldestinatioun kritt. REDIRECT ännert d'Destinatioun a verloosst sech op de passenden Erhuelungsmechanismus; TPROXY brauch säin transparenten Socket an d'Routing-Ariichtung. Wielt no der Applikatioun an der Politik vun der Quelladress.
Verbannt d'Compteure mat der gewielter Route, der Socketfäegkeet an dem Applikatiounslog, ier Dir den Oflauschmodus ännert. Op enger Distributioun, déi déi néideg Mëttelen ubitt, ass e fehlende Liwwerschrëtt en besseren Ausgangspunkt wéi eng Neikompilatioun vum Kernel.