Zachytávanie proxy cez iptables: porty 80 a 443 ako jedna množina
Zoraďte porty 80 a 443 ako jednu množinu a voľbu adresy klienta držte oddelene od prepísaného cieľa proxy.
Ak chcete vybrať TCP prevádzku, ktorej cieľový port je 80 alebo 443, použite množinu:
-p tcp -m multiport --dports 80,443Naopak --dport 80:443 vyberá celý rozsah od 80 do 443 vrátane. Zachytí tak mnoho ďalších portov. Čiarka a dvojbodka vyjadrujú odlišnú politiku.
Toto sú úryvky na porovnávanie, nie úplné príkazy firewallu. Pridajte ich do reťazca a akcie, ktoré vyžaduje návrh zachytávania.
| Selektor | Čo určuje pred prepísaním |
|---|---|
-s 192.0.2.20 | Zdrojovú adresu klienta |
-d 198.51.100.30 | Adresu cieľového servera |
--dports 80,443 | Cieľové servisné porty |
Adresa odovzdaná --to-destination pri DNAT je nový cieľ, napríklad naslúchajúci proxy. Nenahrádza význam predchádzajúcich porovnaní zdroja a cieľa.
Udržujte selektor dosť úzky na to, aby opísal zamýšľaných klientov a prevádzku. Zvlášť počítajte so spojeniami, ktoré vytvára samotný proxy, aby jeho ďalšie požiadavky nevstupovali znova do tej istej cesty zachytávania. Voľba portu 443 tiež nemení bajty tohto spojenia na výslovnú požiadavku HTTP proxy; prijímajúca aplikácia stále potrebuje vhodný režim zachytávania. Na priehľadné preposielanie TCP na proxy musí prekladač obnoviť pôvodný cieľ a dohodnúť protokol proxy.