|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Alexey Vyskubov 2:5020/400 30 May 2003 12:33:44
To : Vadim P Volkov
Subject : Re: transparent proxy vs masquerading
--------------------------------------------------------------------------------
Vadim P Volkov <Vadim.P.Volkov@p64.f50.n465.z2.fidonet.org> wrote:
VPV> Вопpос возник из чтения IPCHAINS-HOWTO, в том месте, где pассматpиваются
VPV> firewall-ные установки. Сначала - тpадиционные пpокси, затем - пpозpачные
VPV> пpокси. И маскаpадинг. Вот отличие пpозpачного пpокси от маскаpадинга не
VPV> совсем уловил. Вот посмотpи сам:
Прочитай английский оригинал, будет понятнее. Перевод впечатляющий.
Особенно "it bastardizes routing" переведеное как "похоже на
маршрутизацию" :-))))
VPV> пpокси. Любые услуги Интеpнет, котоpые вам потpебовались, должны быть на
VPV> firewall.
И тут тоже шикарно. Можно, не зная о чем речь, догадаться, что речь идет
про *предоставляемые* вашей сетью услуги?
VPV> 2. Пpозpачный пpокси (я полагаю, что это патчи к squid, или "transproxy")
Правильный перевод: "Я верю, что существуют патчи для squid, позволяющие
ему работать в этом режиме, или же попробуйте использовать 'transproxy')".
VPV> 3. Ядpу сообщают, что надо пеpеназначать соединения с поpтом 80 на пpокси,
VPV> используя ipchains.
При помощи ipchains ядру сообщено, что пакеты с портом назначения 80
должны быть перенаправлены прокси.
И так далее.
Прозрачный прокси:
Внутренний хост: от 192.168.1.1 на google.com:80
Файрволл по пути: АГА! порт 80! заворачиваем на порт 8080!
Программа-прокси, слушает на порту 8080: Так, пришел запрос
google.com:80. Пойдем спросим гугль.
google: Запрос от прокси на файрволле, отвечаю.
Программа-прокси: А вот и ответ! Возвращаем его 192.168.1.1.
Маскарад:
Внутренний хост: от 192.168.1.1 для a.b.c.d:xy
Файрволл по пути: АГА! Hаружу! (поправляет адрес в пакете) от
"адрес_файрволла" для a.b.c.d:xy; отправляем.
[Прошло время]
Файрволл: Пакет от a.b.c.d:xy для "адрес_файрволла". АГА! Мне!
(поправляет адрес в пакете): от a.b.c.d:xy для 192.168.1.1; пакет уходит
внутрь
Внутренний хост: А вот и ответ.
Оба метода действительно чем-то похожи, только первый работает на уровне
прикладного протокола (прокси должен разобрать http-запрос от клиента и
создать свой запрос к серверу), а второй -- на уровне IP (ядро должно
разобрать и поменять IP-адреса, но что за данные внутри в протоколах
более высокого уровня, его не волнует [1]).
[1] Это не всегда правда, но для понимания сути сойдёт и так.
--
Alexey
"Python is executable pseudocode, Perl is executable line-noise."
--- ifmail v.2.15dev5
* Origin: Nokia (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
