Bir TPROXY paketini sokete kadar izlemek
Alıcı soketi, paket işaretini ve yerel ilke rotasını tek bir saydam vekil teslim yolu olarak denetleyin.
Uygulama hiçbir şey almazken TPROXY sayacı artabilir. Kural eşleşti, ancak yerel teslim hâlâ ilke yönlendirmesine ve uyumlu bir alıcı sokete bağlıdır.
Linux TPROXY, DNAT gibi hedefi yeniden yazmadan trafiği yakalayabilir. Bu nedenle yerel olmayan bir hedefe gönderilen paketler uygun bir yerel sokete ulaşmalıdır.
Teslim yolunu izleyin
- Trafik, amaçlanan arayüz ve adres ailesi üzerinden yakalama ana bilgisayarına ulaşır.
- Yakalama kuralı ve paket işareti yerel teslim ilkesini belirler.
- Eşleşen bir ilke kuralı, paketleri yerel olarak teslim eden bir rota seçer.
- Vekil, gereken soket seçeneğine sahip desteklenen bir saydam dinleyici kullanır.
Çekirdeğin IPv4 örneği, IP_TRANSPARENT için uygulama desteği gerektirir. Aynı bağlantı noktasındaki sıradan bir dinleyici veya genel yerel olmayan bağlama ayarı bu desteği kanıtlamaz.
| Gözlem | Sonraki denetim |
|---|---|
| İlgili gelen paket yok | Trafik yolu ve giriş arayüzü |
| Paketler geliyor; yakalama sayacı duruyor | Adres ailesi, zincir ve eşleşme koşulları |
| Kural eşleşiyor; yerel teslim başarısız | İşaret ve ilke rotası seçimi |
| Soket dinliyor; uygulama hiçbir şey görmüyor | Saydam soket yeteneği ve dinleyicinin sahibi |
| İstek başlıyor; sonraki yanıtlar başarısız | Kurulmuş soket eşleşmesi ve dönüş rotaları |
Her gözlemle birlikte yüklenen yapılandırmayı ve ağ ad alanını saklayın. Daha sonraki bir kural bir işaretin üzerine yazabilir veya başka bir rota seçebilir. Yakalama ana bilgisayarda olurken dinleyici bir kapsayıcıda çalışıyorsa, geçerli bir ana bilgisayar yerel rotası o kapsayıcıya otomatik olarak teslim etmez.
Sonraki paketleri hesaba katın
Çekirdek örneği, soket eşleşmesini ve saydam soketlere ait paketleri işaretleyen bir DIVERT yolunu içerir. Bunu atlamak, ilk yakalama başarılı olsa bile sonraki trafiği başka bir yolda bırakabilir.
Uygulamanın desteklediği saydam kipi ve her adres ailesi için ilgili çekirdek belgelerini kullanın. IPv4 yerel rota komutu IPv6'yı yapılandırmaz ve bir ailedeki destek diğerinin soket davranışını kanıtlamaz.
TPROXY ayrıca SOCKS görüşmesi üretmez. Saydamdan SOCKS'e geçen bileşen yine de hedefi bulmak ve üst akışıyla görüşmek zorundadır.
REDIRECT'ten geçiş
Mevcut uygulamanın özgün hedefi nasıl elde ettiğini kaydedin. REDIRECT hedefi değiştirir ve uygun kurtarma mekanizmasına dayanır; TPROXY kendi saydam soketine ve yönlendirme düzenine ihtiyaç duyar. Uygulamaya ve kaynak adres ilkesine göre seçin.
Yakalama kiplerini değiştirmeden önce sayaçları seçilen rota, soket yeteneği ve uygulama günlüğüyle eşleştirin. Gerekli olanakları sağlayan bir dağıtımda, eksik bir teslim adımı çekirdeği yeniden derlemekten daha iyi bir başlangıçtır.