Proxyonderschepping met iptables: poorten 80 en 443 als één set
Match poorten 80 en 443 als één set en houd de keuze van het clientadres gescheiden van het herschreven eindpunt van de proxy.
Om TCP-verkeer te selecteren waarvan de bestemmingspoort 80 of 443 is, gebruik je één set:
-p tcp -m multiport --dports 80,443Ter vergelijking selecteert --dport 80:443 het hele bereik van 80 tot en met 443. Daarmee vang je veel extra poorten. De komma en de dubbele punt drukken verschillende beleidsregels uit.
Dit zijn matchfragmenten, geen volledige firewallopdrachten. Voeg ze toe aan de keten en de actie die het onderscheppingsontwerp vereist.
| Selector | Wat die vóór het herschrijven identificeert |
|---|---|
-s 192.0.2.20 | Het bronadres van de client |
-d 198.51.100.30 | Het adres van de bestemmingsserver |
--dports 80,443 | De servicepoorten van de bestemming |
Het adres dat aan --to-destination van DNAT wordt gegeven, is de nieuwe bestemming, bijvoorbeeld de listener van de proxy. Het vervangt niet de betekenis van de eerdere bron- en bestemmingsmatches.
Houd de selector smal genoeg om de bedoelde clients en het verkeer te beschrijven. Houd vooral rekening met verbindingen die de proxy zelf maakt, zodat zijn vervolgaanvragen niet opnieuw in hetzelfde onderscheppingspad terechtkomen. Poort 443 kiezen maakt de bytes op die verbinding ook niet tot een expliciete HTTP-proxyaanvraag; de ontvangende applicatie heeft nog steeds de juiste onderscheppingsmodus nodig. Voor transparante doorsturing van TCP naar een proxy moet een vertaler de oorspronkelijke bestemming herstellen en het proxyprotocol onderhandelen.