DNAT bi proxy trasparenti: għaliex timporta r-rotta tar-ritorn
Ifhem għaliex DNAT jista' jibgħat talba lil proxy separat waqt li t-tweġiba tgħaddi mill-gateway u taqta' l-konnessjoni.
SYN ridirett jista' jasal Squid waqt li l-klijent għadu fit-timeout. F'konfigurazzjoni DNAT, il-pakkett tar-ritorn ukoll irid jasal għand il-gateway li għandha l-istat tat-traduzzjoni.
Ikkunsidra din il-LAN ipotetika:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyIl-klijent oriġinarjament ikkonnettja ma' indirizz ta' sit web. Wara DNAT, il-proxy jara s-sors tal-klijent u jista' juża r-rotta tas-subnet lokali biex iwieġeb direttament. Dik it-tweġiba taqbeż it-traduzzjoni inversa tal-gateway u tista' tasal għand il-klijent mill-indirizz tal-proxy minflok mill-indirizz tas-sit web mistenni. Il-gateway ma tistax issewwi pakketti li qatt ma tirċievi.
| Approċċ | Konsegwenza |
|---|---|
| Għaddi t-tweġibiet tal-proxy mill-gateway li tittraduċi | Il-konnessjoni li tidħol lejn il-proxy tista' żżomm l-indirizz tas-sors tal-klijent |
| Tapplika wkoll traduzzjoni tas-sors xierqa | Il-proxy jwieġeb lill-gateway bħala l-pari tiegħu, iżda issa jara dak is-sors tradott minflok il-klijent oriġinali |
Tneħħix SNAT għal logs isbaħ mingħajr ma tivverifika r-rotta tar-ritorn. Applikazzjoni wiesgħa tibdel ukoll l-ACL tas-sors u l-attribuzzjoni; aċċetta dik il-konsegwenza bħala parti mid-disinn.
Qabża HTTP affidabbli tista' ġġorr metadata tal-klijent f'header ta' trażmissjoni, iżda NAT ma joħloqx dak il-header u lanqas ma jibdlu f'identità ta' pari TCP. Iż-żamma ta' sors fuq il-konnessjoni lejn Squid lanqas ma żżommu fuq il-konnessjoni tas-sit web separata ta' Squid.
Fl-aħħar, id-disinn tal-interċettazzjoni xorta jrid jipprovdi l-informazzjoni tad-destinazzjoni li teħtieġ Squid. Ir-rotta tar-ritorn simmetrika ssolvi dan il-mekkaniżmu tat-timeout, mhux il-konfigurazzjoni kollha tal-proxy trasparenti.