DNAT sa transparent na proxy: bakit mahalaga ang rutang pabalik
Unawain kung bakit nakakapaghatid ang DNAT ng kahilingan sa hiwalay na proxy habang nilalampasan ng tugon ang gateway at napuputol ang koneksyon.
Maaaring umabot ang na-redirect na SYN sa Squid habang nag-ti-time out pa rin ang kliyente. Sa setup ng DNAT, kailangan ding umabot ang pabalik na packet sa gateway na may hawak ng estado ng pagsasalin.
Isaalang-alang ang hypothetical na LAN na ito:
client 192.168.40.25 → gateway 192.168.40.1
DNAT → proxy 192.168.40.10
proxy 192.168.40.10 → client 192.168.40.25 directlyOrihinal na kumonekta ang kliyente sa isang address ng website. Pagkatapos ng DNAT, nakikita ng proxy ang pinagmulan ng kliyente at maaaring gamitin ang ruta ng lokal na subnet para tumugon nang direkta. Nawawala ng tugon na iyon ang reverse translation ng gateway at maaaring maabot ang kliyente mula sa address ng proxy sa halip na sa inaasahang address ng website. Hindi kayang ayusin ng gateway ang mga packet na hindi nito natatanggap.
| Paraan | Resulta |
|---|---|
| Ipadala ang mga tugon ng proxy sa gateway na nagsasalin | Maaaring mapanatili ng papasok na koneksyon sa proxy ang source address ng kliyente |
| Gamitin din ang naaangkop na pagsasalin ng pinagmulan | Tumutugon ang proxy sa gateway bilang kapares nito, ngunit nakikita na nito ang isinaling pinagmulan sa halip na ang orihinal na kliyente |
Huwag alisin ang SNAT para sa mas magagandang log nang hindi bine-verify ang rutang pabalik. Binabago rin ng malawak na paggamit ang source ACL at attribution; tanggapin ang resulta bilang bahagi ng disenyo.
Maaaring maghatid ng metadata ng kliyente ang isang pinagkakatiwalaang HTTP hop sa header ng pagpapasa, ngunit hindi ginagawa ng NAT ang header na iyon o ginagawang pagkakakilanlan ng TCP peer. Ang pagpapanatili ng pinagmulan sa koneksyon patungong Squid ay hindi rin ito pinapanatili sa hiwalay na koneksyon ng Squid sa website.
Sa huli, kailangan pa ring magbigay ang disenyo ng interception ng impormasyong destinasyon na kailangan ng Squid. Niresolba ng simetriko na rutang pabalik ang mekanismong ito ng pag-time out, hindi ang buong configuration ng transparent na proxy.