Proxy-avlyssning med iptables: portarna 80 och 443 som en mängd
Matcha portarna 80 och 443 som en mängd och håll valet av klientadress åtskilt från proxyns omskrivna slutpunkt.
För att välja TCP-trafik vars målport är 80 eller 443, använd en mängd:
-p tcp -m multiport --dports 80,443Till jämförelse väljer --dport 80:443 hela intervallet från 80 till och med 443. Det fångar många extra portar. Kommat och kolonet uttrycker olika policyer.
Det här är matchningsfragment, inte fullständiga brandväggskommandon. Lägg till dem i den kedja och åtgärd som avlyssningsdesignen kräver.
| Väljare | Vad den identifierar före omskrivningen |
|---|---|
-s 192.0.2.20 | Klientens källadress |
-d 198.51.100.30 | Målserverns adress |
--dports 80,443 | Målets tjänsteportar |
Adressen som ges till DNAT:s --to-destination är det nya målet, till exempel proxyns lyssnare. Den ersätter inte betydelsen av de tidigare käll- och målmatcherna.
Håll väljaren tillräckligt snäv för att beskriva de avsedda klienterna och trafiken. Ta särskilt hänsyn till anslutningar som proxyn själv skapar, så att dess vidare förfrågningar inte går in i samma avlyssningsväg igen. Att välja port 443 gör inte heller byten på den anslutningen till en uttrycklig HTTP-proxyförfrågan; det mottagande programmet behöver fortfarande rätt avlyssningsläge. För transparent vidarebefordran från TCP till proxy måste en översättare återställa det ursprungliga målet och förhandla proxyprotokollet.