Sledenje paketu TPROXY vse do vtičnice
Preverite prejemno vtičnico, oznako paketa in lokalno pot politike kot eno pot dostave prosojnega posrednika.
Števec TPROXY lahko narašča, medtem ko aplikacija ne prejme ničesar. Pravilo se je ujemalo, a lokalna dostava je še vedno odvisna od usmerjanja po politiki in združljive prejemne vtičnice.
Linux TPROXY lahko prestreže promet, ne da bi prepisal cilj, kot to počne DNAT. Zato morajo paketi, naslovljeni na nelokalni cilj, priti do ustrezne lokalne vtičnice.
Sledite poti dostave
- Promet prispe do gostitelja prestrezanja po predvidenem vmesniku in družini naslovov.
- Pravilo prestrezanja in oznaka paketa določata politiko lokalne dostave.
- Ustrezno pravilo politike izbere pot, ki pakete dostavi lokalno.
- Posrednik uporabi podprt prosojni poslušalec z zahtevano možnostjo vtičnice.
Primer IPv4 v jedru zahteva podporo aplikacije za IP_TRANSPARENT. Običajen poslušalec na istih vratih ali globalna nastavitev nelokalnega vezanja te podpore ne dokazuje.
| Opazovanje | Naslednje preverjanje |
|---|---|
| Ni ustreznih dohodnih paketov | Pot prometa in vhodni vmesnik |
| Paketi prispejo; števec prestrezanja miruje | Družina naslovov, veriga in pogoji ujemanja |
| Pravilo se ujema; lokalna dostava ne uspe | Oznaka in izbira poti politike |
| Vtičnica posluša; aplikacija ne vidi ničesar | Zmožnost prosojne vtičnice in lastnik poslušalca |
| Zahteva se začne; poznejši odgovori ne uspejo | Ujemanje vzpostavljene vtičnice in povratne poti |
Ob vsakem opazovanju shranite naloženo konfiguracijo in imenski prostor omrežja. Poznejše pravilo lahko prepiše oznako ali izbere drugo pot. Če prestrezanje poteka na gostitelju, medtem ko poslušalec teče v vsebniku, veljavna lokalna pot gostitelja ne dostavi samodejno v ta vsebnik.
Upoštevajte poznejše pakete
Primer jedra vključuje ujemanje vtičnice in pot DIVERT, ki označi pakete prosojnih vtičnic. Če jo izpustite, lahko poznejši promet ostane na drugi poti, tudi ko prvo prestrezanje uspe.
Uporabite prosojni način, ki ga aplikacija podpira, in ustrezno dokumentacijo jedra za vsako družino naslovov. Ukaz lokalne poti IPv4 ne nastavi IPv6, podpora v eni družini pa ne dokazuje vedenja vtičnice v drugi.
TPROXY tudi ne ustvari pogajanj SOCKS. Komponenta od prosojnega do SOCKS mora še vedno odkriti cilj in se pogajati s svojim nadrejenim strežnikom.
Prehod z REDIRECT
Zabeležite, kako obstoječa aplikacija pridobi izvirni cilj. REDIRECT spremeni cilj in se opira na ustrezen mehanizem obnovitve; TPROXY potrebuje svojo prosojno vtičnico in ureditev usmerjanja. Izberite glede na aplikacijo in politiko izvornega naslova.
Preden spremenite način prestrezanja, povežite števce z izbrano potjo, zmožnostjo vtičnice in dnevnikom aplikacije. V distribuciji, ki ponuja potrebna sredstva, je manjkajoči korak dostave boljše izhodišče kot ponovno prevajanje jedra.