DNAT e proxy transparent: pse rëndësi rruga e kthimit
Kuptoni pse DNAT mund ta dorëzojë kërkesën te një proxy i veçantë ndërsa përgjigja anashkalon portën dhe ndërpret lidhjen.
Një SYN i ridrejtuar mund të arrijë në Squid ndërsa klienti ende skadon. Në një konfigurim DNAT, paketa e kthimit duhet të arrijë gjithashtu te porta që zotëron gjendjen e përkthimit.
Merrni parasysh këtë LAN hipotetik:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyKlienti u lidh fillimisht me një adresë faqeje. Pas DNAT, proxy sheh burimin e klientit dhe mund të përdorë rrugën e nënrrjetit lokal për t'u përgjigjur drejtpërdrejt. Ajo përgjigje e humb përkthimin e kundërt të portës dhe mund ta arrijë klientin nga adresa e proxy në vend të adresës së pritur të faqes. Porta nuk mund të riparojë paketa që nuk i merr kurrë.
| Qasje | Pasojë |
|---|---|
| Kalimi i përgjigjeve të proxy përmes portës që përkthen | Lidhja hyrëse drejt proxy mund të ruajë adresën e burimit të klientit |
| Zbatimi edhe i përkthimit të përshtatshëm të burimit | Proxy i përgjigjet portës si partner i vet, por tani sheh atë burim të përkthyer në vend të klientit origjinal |
Mos e hiqni SNAT për regjistra më të bukur pa verifikuar rrugën e kthimit. Zbatimi i gjerë ndryshon gjithashtu ACL-të e burimit dhe atribuimin; pranojeni atë pasojë si pjesë të projektimit.
Një kërcim HTTP i besuar mund të përcjellë metadatat e klientit në një krye përcjelljeje, por NAT nuk e krijon atë krye dhe as e shndërron në identitet partneri TCP. Ruajtja e një burimi në lidhjen drejt Squid nuk e ruan atë as në lidhjen e veçantë të Squid me faqen.
Së fundi, projektimi i përgjimit duhet ende të sigurojë informacionin e destinacionit që kërkon Squid. Rrugëtimi simetrik i kthimit e zgjidh këtë mekanizëm skadimi, jo të gjithë konfigurimin e proxy transparent.