TPROXY paketini soketgacha kuzatish
Qabul qiluvchi soketni, paket belgisini va mahalliy siyosat marshrutini yagona shaffof proksi yetkazish yo'li sifatida tekshiring.
Ilova hech narsa qabul qilmasa ham TPROXY hisoblagichi oshishi mumkin. Qoida mos keldi, ammo mahalliy yetkazish hali ham siyosat marshrutlashiga va mos keladigan qabul qiluvchi soketga bog'liq.
Linux TPROXY trafikni DNAT kabi manzilni qayta yozmasdan ushlab qolishi mumkin. Shuning uchun mahalliy bo'lmagan manzilga yuborilgan paketlar tegishli mahalliy soketga yetib borishi kerak.
Yetkazish yo'lini kuzatib boring
- Trafik mo'ljallangan interfeys va manzillar oilasi bo'yicha ushlash xostiga yetib boradi.
- Ushlash qoidasi va paket belgisi mahalliy yetkazish siyosatini belgilaydi.
- Mos keladigan siyosat qoidasi paketlarni mahalliy yetkazadigan marshrutni tanlaydi.
- Proksi kerakli soket parametri bilan qo'llab-quvvatlanadigan shaffof tinglovchidan foydalanadi.
Yadroning IPv4 misoli IP_TRANSPARENT uchun ilova tomonidan qo'llab-quvvatlanishini talab qiladi. Xuddi shu portdagi oddiy tinglovchi yoki global mahalliy bo'lmagan bog'lash sozlamasi bu qo'llab-quvvatlashni isbotlamaydi.
| Kuzatuv | Keyingi tekshiruv |
|---|---|
| Tegishli kiruvchi paketlar yo'q | Trafik yo'li va kirish interfeysi |
| Paketlar keladi; ushlash hisoblagichi qimirlamaydi | Manzillar oilasi, zanjir va moslik shartlari |
| Qoida mos keladi; mahalliy yetkazish muvaffaqiyatsiz | Belgi va siyosat marshrutini tanlash |
| Soket tinglaydi; ilova hech narsani ko'rmaydi | Shaffof soket imkoniyati va tinglovchi egasi |
| So'rov boshlanadi; keyingi javoblar muvaffaqiyatsiz | O'rnatilgan soket mosligi va qaytish marshrutlari |
Har bir kuzatuv bilan yuklangan konfiguratsiya va tarmoq nom fazosini saqlang. Keyingi qoida belgini qayta yozishi yoki boshqa marshrut tanlashi mumkin. Agar tinglovchi konteynerda ishlayotganda ushlash xostda sodir bo'lsa, xostning haqiqiy mahalliy marshruti o'sha konteynerga avtomatik yetkazmaydi.
Keyingi paketlarni hisobga oling
Yadro misolida soket mosligi va shaffof soketlarga tegishli paketlarni belgilaydigan DIVERT yo'li bor. Uni tashlab ketish dastlabki ushlash muvaffaqiyatli bo'lsa ham keyingi trafikni boshqa yo'lda qoldirishi mumkin.
Ilova qo'llab-quvvatlaydigan shaffof rejim va har bir manzillar oilasi uchun tegishli yadro hujjatlaridan foydalaning. IPv4 mahalliy marshrut buyrug'i IPv6 ni sozlamaydi, bir oiladagi qo'llab-quvvatlash ikkinchisining soket xatti-harakatini isbotlamaydi.
TPROXY SOCKS muzokaralarini ham yaratmaydi. Shaffofdan SOCKS ga o'tuvchi komponent baribir manzilni topib, yuqori oqim bilan muzokara qilishi kerak.
REDIRECT dan o'tish
Mavjud ilova asl manzilni qanday olishini yozib qo'ying. REDIRECT manzilni o'zgartiradi va tegishli tiklash mexanizmiga tayanadi; TPROXY o'zining shaffof soketi va marshrutlash tartibiga muhtoj. Ilova va manba manzil siyosatiga qarab tanlang.
Ushlash rejimlarini o'zgartirishdan oldin hisoblagichlarni tanlangan marshrut, soket imkoniyati va ilova jurnali bilan bog'lang. Kerakli vositalarni taqdim etuvchi distributivda yetishmayotgan yetkazish bosqichi yadroni qayta kompilyatsiya qilishdan yaxshiroq boshlanishdir.