TPROXY paketo sekimas iki lizdo
Patikrinkite priimantį lizdą, paketo žymą ir vietinį politikos maršrutą kaip vieną skaidraus tarpinio serverio pristatymo kelią.
TPROXY skaitiklis gali didėti, nors programa nieko negauna. Taisyklė sutapo, bet vietinis pristatymas vis dar priklauso nuo politikos maršrutizavimo ir suderinamo priimančio lizdo.
Linux TPROXY gali perimti srautą neperrašydamas paskirties, kaip tai daro DNAT. Todėl paketai, adresuoti ne vietinei paskirčiai, turi pasiekti tinkamą vietinį lizdą.
Sekite pristatymo kelią
- Srautas pasiekia perėmimo mazgą numatytu sąsaja ir adresų šeima.
- Perėmimo taisyklė ir paketo žyma nustato vietinio pristatymo politiką.
- Atitinkanti politikos taisyklė parenka maršrutą, kuris pristato paketus vietoje.
- Tarpinis serveris naudoja palaikomą skaidrų klausytoją su reikiama lizdo parinktimi.
Branduolio IPv4 pavyzdys reikalauja programos palaikymo IP_TRANSPARENT. Įprastas klausytojas tame pačiame porte arba visuotinis ne vietinis susiejimas to palaikymo neįrodo.
| Stebėjimas | Kitas patikrinimas |
|---|---|
| Nėra susijusių įeinančių paketų | Srauto kelias ir įvesties sąsaja |
| Paketai ateina; perėmimo skaitiklis nejuda | Adresų šeima, grandinė ir atitikimo sąlygos |
| Taisyklė sutampa; vietinis pristatymas nepavyksta | Žyma ir politikos maršruto pasirinkimas |
| Lizdas klausosi; programa nieko nemato | Skaidraus lizdo galimybė ir klausytojo savininkas |
| Užklausa prasideda; vėlesni atsakymai nepavyksta | Nustatyto lizdo atitikimas ir grįžtamieji maršrutai |
Saugokite įkeltą konfigūraciją ir tinklo vardų erdvę su kiekvienu stebėjimu. Vėlesnė taisyklė gali perrašyti žymą arba pasirinkti kitą maršrutą. Jei perėmimas vyksta mazge, o klausytojas veikia konteineryje, galiojantis vietinis mazgo maršrutas automatiškai nepristato į tą konteinerį.
Atsižvelkite į vėlesnius paketus
Branduolio pavyzdyje yra lizdo atitikimas ir DIVERT kelias, žymintis skaidrių lizdų paketus. Jo praleidimas gali palikti vėlesnį srautą kitame kelyje, net kai pirmasis perėmimas pavyksta.
Naudokite programos palaikomą skaidrų režimą ir atitinkamą branduolio dokumentaciją kiekvienai adresų šeimai. IPv4 vietinio maršruto komanda nesukonfigūruoja IPv6, o palaikymas vienoje šeimoje neįrodo kitos lizdo elgsenos.
TPROXY taip pat nesukuria SOCKS derybų. Komponentas iš skaidraus į SOCKS vis tiek turi aptikti paskirtį ir derėtis su savo aukštutiniu srautu.
Perėjimas nuo REDIRECT
Užrašykite, kaip esama programa gauna pradinę paskirtį. REDIRECT pakeičia paskirtį ir remiasi tinkamu atkūrimo mechanizmu; TPROXY reikia savo skaidraus lizdo ir maršrutizavimo tvarkos. Rinkitės pagal programą ir šaltinio adreso politiką.
Prieš keisdami perėmimo režimus susiekite skaitiklius su pasirinktu maršrutu, lizdo galimybe ir programos žurnalu. Distribucijoje, teikiančioje reikiamas priemones, trūkstamas pristatymo žingsnis yra geresnis atspirties taškas nei branduolio perkūrimas.