Ndjekja e një pakete TPROXY deri në soket
Kontrolloni soketin marrës, shenjën e paketës dhe rrugën e politikës lokale si një rrugë e vetme dorëzimi e një proxy transparent.
Një numërues TPROXY mund të rritet ndërsa aplikacioni nuk merr asgjë. Rregulli përputhej, por dorëzimi lokal varet ende nga rrugëtimi i politikave dhe nga një soket marrës i përputhshëm.
TPROXY në Linux mund të kapë trafikun pa rishkruar destinacionin siç bën DNAT. Prandaj paketat e adresuara drejt një destinacioni jo lokal duhet të arrijnë në një soket lokal të përshtatshëm.
Ndiqni rrugën e dorëzimit
- Trafiku arrin në strehuesin e kapjes përmes ndërfaqes dhe familjes së adresave të parashikuara.
- Rregulli i kapjes dhe shenja e paketës përcaktojnë politikën e dorëzimit lokal.
- Një rregull politike që përputhet zgjedh një rrugë që i dorëzon paketat lokalisht.
- Proxy përdor një dëgjues transparent të mbështetur me opsionin e kërkuar të soketit.
Shembulli IPv4 i kernelit kërkon mbështetje të aplikacionit për IP_TRANSPARENT. Një dëgjues i zakonshëm në të njëjtën portë, ose një konfigurim global lidhjeje jo lokale, nuk e vërteton atë mbështetje.
| Vëzhgim | Kontrolli i radhës |
|---|---|
| Nuk ka paketa hyrëse përkatëse | Rruga e trafikut dhe ndërfaqja hyrëse |
| Paketat mbërrijnë; numëruesi i kapjes nuk lëviz | Familja e adresave, zinxhiri dhe kushtet e përputhjes |
| Rregulli përputhet; dorëzimi lokal dështon | Shenja dhe zgjedhja e rrugës së politikës |
| Soketi dëgjon; aplikacioni nuk sheh asgjë | Aftësia e soketit transparent dhe pronari i dëgjuesit |
| Kërkesa fillon; përgjigjet e mëvonshme dështojnë | Përputhja e soketit të vendosur dhe rrugët e kthimit |
Ruani konfigurimin e ngarkuar dhe hapësirën e emrave të rrjetit me çdo vëzhgim. Një rregull i mëvonshëm mund të mbishkruajë një shenjë ose të zgjedhë një rrugë tjetër. Nëse kapja ndodh në strehues ndërsa dëgjuesi ekzekutohet në një kontejner, një rrugë lokale e vlefshme e strehuesit nuk dorëzon automatikisht në atë kontejner.
Merrni parasysh paketat e mëvonshme
Shembulli i kernelit përfshin përputhjen e soketit dhe një rrugë DIVERT që shënon paketat e soketeve transparente. Heqja e saj mund ta lërë trafikun e mëvonshëm në një rrugë tjetër edhe kur kapja fillestare ka sukses.
Përdorni modalitetin transparent të mbështetur nga aplikacioni dhe dokumentacionin përkatës të kernelit për çdo familje adresash. Komanda e rrugës lokale IPv4 nuk konfiguron IPv6, dhe mbështetja në një familje nuk e vërteton sjelljen e soketit në tjetrën.
TPROXY gjithashtu nuk prodhon negociim SOCKS. Komponenti nga transparent në SOCKS duhet ende të zbulojë destinacionin dhe të negociojë me rrjedhën e sipërme.
Kalimi nga REDIRECT
Shënoni si aplikacioni ekzistues e merr destinacionin origjinal. REDIRECT ndryshon destinacionin dhe mbështetet në mekanizmin e duhur të rikuperimit; TPROXY ka nevojë për soketin e vet transparent dhe rregullimin e rrugëtimit. Zgjidhni sipas aplikacionit dhe politikës së adresës burimore.
Lidhni numëruesit me rrugën e zgjedhur, aftësinë e soketit dhe regjistrin e aplikacionit përpara se të ndryshoni modalitetin e kapjes. Në një shpërndarje që ofron mjetet e nevojshme, një hap dorëzimi që mungon është pikënisje më e mirë sesa rikompilimi i kernelit.