Skaidrus tarpinis serveris DNAT: kodėl svarbus grįžtamasis maršrutas
Supraskite, kodėl DNAT gali pristatyti užklausą atskiram tarpiniam serveriui, o atsakymas apeina tinklų sietuvą ir nutraukia ryšį.
Peradresuotas SYN gali pasiekti Squid, o klientas vis dar sulaukia skirtosios trukmės pabaigos. DNAT sąrankoje grįžtamasis paketas taip pat turi pasiekti tinklų sietuvą, kuris turi vertimo būseną.
Apsvarstykite šį hipotetinį LAN:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyKlientas iš pradžių prisijungė prie svetainės adreso. Po DNAT tarpinis serveris mato kliento šaltinį ir gali naudoti vietinio potinklio maršrutą atsakyti tiesiogiai. Tas atsakymas apeina tinklų sietuvos atvirkštinį vertimą ir gali pasiekti klientą iš tarpinio serverio adreso, o ne iš laukiamo svetainės adreso. Tinklų sietuvas negali pataisyti paketų, kurių niekada negauna.
| Požiūris | Pasekmė |
|---|---|
| Perduoti tarpinio serverio atsakymus per verčiantį tinklų sietuvą | Įeinantis tarpinio serverio ryšys gali išsaugoti kliento šaltinio adresą |
| Taikyti ir tinkamą šaltinio vertimą | Tarpinis serveris atsako tinklų sietuvui kaip savo partneriui, bet dabar mato tą išverstą šaltinį, o ne pirminį klientą |
Nešalinkite SNAT dėl gražesnių žurnalų nepatikrinę grįžtamojo maršruto. Platus taikymas taip pat keičia šaltinio ACL ir priskyrimą; priimkite tą pasekmę kaip dizaino dalį.
Patikimas HTTP šuolis gali perduoti kliento metaduomenis persiuntimo antraštėje, bet NAT nesukuria tos antraštės ir nepaverčia jos TCP partnerio tapatybe. Šaltinio išsaugojimas ryšyje su Squid jo taip pat neišsaugo atskirame Squid ryšyje su svetaine.
Galiausiai, perėmimo dizainas vis tiek turi pateikti Squid reikalaujamą paskirties informaciją. Simetriškas grįžtamasis maršrutizavimas išsprendžia šį skirtosios trukmės mechanizmą, o ne visą skaidraus tarpinio serverio konfigūraciją.