TPROXY paketes izsekošana līdz ligzdai
Pārbaudiet uztverošo ligzdu, paketes atzīmi un vietējo politikas maršrutu kā vienu caurspīdīga starpniekservera piegādes ceļu.
TPROXY skaitītājs var pieaugt, kamēr lietotne nesaņem neko. Noteikums sakrita, taču vietējā piegāde joprojām ir atkarīga no politikas maršrutēšanas un saderīgas uztverošās ligzdas.
Linux TPROXY var pārtvert datplūsmu, nepārrakstot galamērķi, kā to dara DNAT. Tāpēc paketēm, kas adresētas uz nevietēju galamērķi, jāsasniedz piemērota vietējā ligzda.
Izsekojiet piegādes ceļu
- Datplūsma sasniedz pārtveršanas resursdatoru paredzētajā saskarnē un adrešu saimē.
- Pārtveršanas noteikums un paketes atzīme nosaka vietējās piegādes politiku.
- Atbilstošs politikas noteikums izvēlas maršrutu, kas piegādā paketes vietēji.
- Starpniekserveris izmanto atbalstītu caurspīdīgu klausītāju ar nepieciešamo ligzdas opciju.
Kodola IPv4 piemērs prasa lietotnes atbalstu IP_TRANSPARENT. Parasts klausītājs tajā pašā portā vai globāls nevietējs piesaistes iestatījums šo atbalstu neapliecina.
| Novērojums | Nākamā pārbaude |
|---|---|
| Nav attiecīgu ienākošo paketi | Datplūsmas ceļš un ievades saskarne |
| Paketes ierodas; pārtveršanas skaitītājs nekustas | Adrešu saime, ķēde un atbilstības nosacījumi |
| Noteikums sakrīt; vietējā piegāde neizdodas | Atzīme un politikas maršruta izvēle |
| Ligzda klausās; lietotne neko neredz | Caurspīdīgas ligzdas iespēja un klausītāja īpašnieks |
| Pieprasījums sākas; vēlākās atbildes neizdodas | Izveidotās ligzdas atbilstība un atgriešanās maršruti |
Saglabājiet ielādēto konfigurāciju un tīkla nosaukumvietu kopā ar katru novērojumu. Vēlāks noteikums var pārrakstīt atzīmi vai izvēlēties citu maršrutu. Ja pārtveršana notiek resursdatorā, kamēr klausītājs darbojas konteinerā, derīgs vietējais resursdatora maršruts automātiski nepiegādā šajā konteinerā.
Ņemiet vērā vēlākās paketes
Kodola piemērā ir ligzdas atbilstība un DIVERT ceļš, kas atzīmē caurspīdīgo ligzdu paketes. Tā izlaišana var atstāt vēlāko datplūsmu citā ceļā pat tad, ja sākotnējā pārtveršana izdodas.
Izmantojiet lietotnes atbalstīto caurspīdīgo režīmu un attiecīgo kodola dokumentāciju katrai adrešu saimei. IPv4 vietējā maršruta komanda nekonfigurē IPv6, un atbalsts vienā saimē neapliecina otras ligzdas uzvedību.
TPROXY arī neģenerē SOCKS sarunas. Komponentam no caurspīdīga uz SOCKS joprojām ir jāatklāj galamērķis un jāsarunājas ar savu augšupējo pusi.
Pāreja no REDIRECT
Pierakstiet, kā esošā lietotne iegūst sākotnējo galamērķi. REDIRECT maina galamērķi un paļaujas uz atbilstošo atjaunošanas mehānismu; TPROXY nepieciešama sava caurspīdīgā ligzda un maršrutēšanas kārtība. Izvēlieties pēc lietotnes un avota adreses politikas.
Pirms pārtveršanas režīmu maiņas sasaistiet skaitītājus ar izvēlēto maršrutu, ligzdas iespēju un lietotnes žurnālu. Distribūcijā, kas nodrošina vajadzīgos līdzekļus, trūkstošais piegādes solis ir labāks sākumpunkts nekā kodola pārkompilēšana.