Caurspīdīgs starpniekserveris DNAT: kāpēc svarīgs atgriešanās maršruts
Saprotiet, kāpēc DNAT var nogādāt pieprasījumu atsevišķam starpniekserverim, kamēr atbilde apiet vārteju un pārtrauc savienojumu.
Pārvirzīts SYN var nonākt Squid, kamēr klients joprojām gaida taimautu. DNAT iestatījumā arī atgriešanās paketei jāsasniedz vārteja, kurai pieder tulkošanas stāvoklis.
Apsveriet šo hipotētisko LAN:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyKlients sākotnēji izveidoja savienojumu ar vietnes adresi. Pēc DNAT starpniekserveris redz klienta avotu un var izmantot vietējā apakštīkla maršrutu, lai atbildētu tieši. Šī atbilde palaiž garām vārtejas apgriezto tulkojumu un var sasniegt klientu no starpniekservera adreses, nevis no gaidītās vietnes adreses. Vārteja nevar salabot paketes, kuras tā nekad nesaņem.
| Pieeja | Sekas |
|---|---|
| Vadīt starpniekservera atbildes caur tulkojošo vārteju | Ienākošais savienojums uz starpniekserveri var saglabāt klienta avota adresi |
| Piemērot arī atbilstošu avota tulkojumu | Starpniekserveris atbild vārtejai kā savam partnerim, bet tagad redz šo tulkoto avotu, nevis sākotnējo klientu |
Nenoņemiet SNAT skaistāku žurnālu dēļ, nepārbaudot atgriešanās maršrutu. Tā plaša izmantošana maina arī avota ACL un attiecināšanu; pieņemiet šo seku kā dizaina daļu.
Uzticams HTTP lēciens var pārsūtīt klienta metadatus pārsūtīšanas galvenē, bet NAT neizveido šo galveni un nepārvērš to TCP partnera identitātē. Avota saglabāšana savienojumā uz Squid to nesaglabā arī Squid atsevišķajā vietnes savienojumā.
Visbeidzot, pārtveršanas dizainam joprojām jānodrošina Squid nepieciešamā galamērķa informācija. Simetriska atgriešanās maršrutēšana atrisina šo taimauta mehānismu, nevis visu caurspīdīgā starpniekservera konfigurāciju.