Proxy-avskjæring med iptables: port 80 og 443 som ett sett
Match port 80 og 443 som ett sett, og hold valget av klientadresse atskilt fra proxyens omskrevne endepunkt.
For å velge TCP-trafikk der destinasjonsporten er 80 eller 443, bruk ett sett:
-p tcp -m multiport --dports 80,443Til sammenligning velger --dport 80:443 hele området fra 80 til og med 443. Det fanger mange flere porter. Kommaet og kolonet uttrykker ulike retningslinjer.
Dette er matchfragmenter, ikke komplette brannmurkommandoer. Legg dem til i kjeden og handlingen som avskjæringsdesignet krever.
| Velger | Hva den identifiserer før omskrivingen |
|---|---|
-s 192.0.2.20 | Klientens kildeadresse |
-d 198.51.100.30 | Destinasjonsserverens adresse |
--dports 80,443 | Destinasjonens tjenesteport |
Adressen som gis til DNATs --to-destination, er den nye destinasjonen, for eksempel proxyens lytter. Den erstatter ikke betydningen av de foregående kilde- og destinasjonsmatchene.
Hold velgeren smal nok til å beskrive de tiltenkte klientene og trafikken. Ta særlig høyde for tilkoblinger som proxyen selv oppretter, slik at dens videre forespørsler ikke går inn i samme avskjæringsvei igjen. Å velge port 443 gjør heller ikke bytene på den tilkoblingen om til en eksplisitt HTTP-proxyforespørsel; mottakerapplikasjonen trenger fortsatt riktig avskjæringsmodus. For gjennomsiktig videresending fra TCP til proxy må en oversetter gjenopprette den opprinnelige destinasjonen og forhandle proxyprotokollen.