Transparente Proxy-DNAT: firwat d'Réckwee eng Roll spillt
Verstinn firwat DNAT eng Ufro un en anere Proxy ka liwweren, während d'Äntwert de Gateway ëmgeet an d'Verbindung brécht.
En ëmgeleet SYN ka bei Squid ukommen, während de Client nach an d'Zäitlimit leeft. An enger DNAT-Astellung muss de Réckpak och de Gateway erreechen, deen den Iwwersetzungszoustand huet.
Betruecht dës hypothetesch LAN:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyDe Client huet sech ursprénglech mat enger Websäitadress verbonnen. No DNAT gesäit de Proxy d'Quell vum Client a kann d'Route vum lokalen Subnetz benotzen, fir direkt ze äntweren. Dës Äntwert verpasst d'Ëmkéier-Iwwersetzung vum Gateway a ka de Client vun der Proxyadress erreechen amplaz vun der erwaarter Websäitadress. De Gateway kann Pakete net reparéieren, déi en ni kritt.
| Usatz | Konsequenz |
|---|---|
| D'Äntwerten vum Proxy duerch de Gateway leeden, deen iwwersetzt | D'Verbindung zum Proxy kann d'Quelladress vum Client behalen |
| Och eng passend Quell-Iwwersetzung uwenden | De Proxy äntwert dem Gateway als sengem Peer, gesäit awer elo déi iwwersat Quell amplaz vum urspréngleche Client |
Huelt SNAT net ewech fir méi schéi Loggen, ouni d'Réckwee ze iwwerpréiwen. Eng breet Uwendung änert och Quell-ACLen an d'Zouuerdnung; akzeptéiert déi Konsequenz als Deel vum Design.
En zouverlässegen HTTP-Sprong ka Client-Metadaten an engem Weiderleeungsheader iwwerdroen, awer NAT erstellt deen Header net an mécht en net zu enger TCP-Peer-Identitéit. Eng Quell op der Verbindung zu Squid ze halen hält se och net op Squid senger separater Websäitverbindung.
Schlussendlech muss d'Interceptiounsdesign nach ëmmer déi vum Squid gefuerdert Destinatiounsinformatioun liwweren. Symmetresch Réckwee-Routing léist dësen Zäitlimitmechanismus, net déi ganz transparent Proxy-Konfiguratioun.