Транспарентен прокси DNAT: зошто е важна повратната рута
Разберете зошто DNAT може да достави барање до посебен прокси, додека одговорот ја заобиколува портата и ја прекинува врската.
Пренасочен SYN може да стигне до Squid, додека клиентот сè уште добива истекување. Во DNAT поставување, повратниот пакет исто така мора да стигне до портата што ја држи состојбата на преводот.
Разгледајте ја оваа хипотетичка LAN:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyКлиентот првично се поврза со адреса на веб-страница. По DNAT, проксито го гледа изворот на клиентот и може да ја користи рутата на локалната подмрежа за директно да одговори. Тој одговор ја пропушта обратната транслација на портата и може да стигне до клиентот од адресата на проксито наместо од очекуваната адреса на веб-страницата. Портата не може да ги поправи пакетите што никогаш не ги прима.
| Пристап | Последица |
|---|---|
| Спроведување на одговорите на проксито низ портата што преведува | Дојдовната врска кон проксито може да ја задржи изворната адреса на клиентот |
| Примена и на соодветен превод на изворот | Проксито одговара на портата како на свој партнер, но сега го гледа тој преведен извор наместо оригиналниот клиент |
Не отстранувајте SNAT за поубави дневници без да ја проверите повратната рута. Широката примена исто така ги менува ACL-ите на изворот и припишувањето; прифатете ја таа последица како дел од дизајнот.
Доверлив HTTP скок може да ги пренесе метаподатоците на клиентот во заглавие за препраќање, но NAT не го создава тоа заглавие ниту го претвора во идентитет на TCP партнер. Зачувувањето на изворот на врската кон Squid не го зачувува на посебната врска на Squid со веб-страницата.
Конечно, дизајнот на пресретнување сè уште мора да обезбеди информации за одредиштето што ги бара Squid. Симетричното повратно рутирање го решава овој механизам за истекување, не целата конфигурација на транспарентен прокси.