Chặn bắt proxy bằng iptables: cổng 80 và 443 như một tập hợp
Khớp cổng 80 và 443 như một tập hợp, đồng thời giữ việc chọn địa chỉ máy khách tách khỏi điểm cuối đã bị proxy ghi lại.
Để chọn lưu lượng TCP có cổng đích là 80 hoặc 443, hãy dùng một tập hợp:
-p tcp -m multiport --dports 80,443Ngược lại, --dport 80:443 chọn toàn bộ dải từ 80 đến 443 bao gồm cả hai đầu. Như vậy sẽ bắt thêm rất nhiều cổng. Dấu phẩy và dấu hai chấm thể hiện các chính sách khác nhau.
Đây là những mảnh khớp, không phải lệnh tường lửa hoàn chỉnh. Hãy thêm chúng vào chuỗi và hành động mà thiết kế chặn bắt yêu cầu.
| Bộ chọn | Nó xác định gì trước khi ghi lại |
|---|---|
-s 192.0.2.20 | Địa chỉ nguồn của máy khách |
-d 198.51.100.30 | Địa chỉ của máy chủ đích |
--dports 80,443 | Các cổng dịch vụ đích |
Địa chỉ được cấp cho --to-destination của DNAT là đích mới, ví dụ trình lắng nghe của proxy. Nó không thay thế ý nghĩa của các phép khớp nguồn và đích trước đó.
Giữ bộ chọn đủ hẹp để mô tả các máy khách và lưu lượng dự kiến. Đặc biệt, hãy tính đến các kết nối do chính proxy tạo ra để các yêu cầu tiếp theo của nó không quay lại cùng đường chặn bắt. Việc chọn cổng 443 cũng không biến các byte trên kết nối đó thành một yêu cầu proxy HTTP rõ ràng; ứng dụng nhận vẫn cần chế độ chặn bắt phù hợp. Để chuyển tiếp TCP tới proxy một cách trong suốt, bộ chuyển đổi phải khôi phục đích ban đầu và thương lượng giao thức proxy.