[欢迎进入讨论] 关于syn-proxy的一些问题

Godbach

而且防火墙是要负责这个SYN连接的数据传输中所有来往报文的转换吧

dreamice

原帖由 Godbach 于 2009-3-13 13:49 发表
而且防火墙是要负责这个SYN连接的数据传输中所有来往报文的转换吧

透明代理就是这么个意思。具体实现还是蛮复杂的。

Godbach

原帖由 dreamice 于 2009-3-13 13:56 发表


透明代理就是这么个意思。具体实现还是蛮复杂的。

恩。dreamice觉得这个实现中难点在于什么啊？

dreamice

原帖由 Godbach 于 2009-3-13 13:58 发表


恩。dreamice觉得这个实现中难点在于什么啊？

tcp握手，源IP为非本地IP的路由，目的IP为非本地IP的拦截

Godbach

原帖由 dreamice 于 2009-3-13 14:57 发表


tcp握手，源IP为非本地IP的路由，目的IP为非本地IP的拦截

说的通俗点哈。

我觉得透明代理在数据传输的过程中：
（1）要记录一个五元组，包含client和server之间通信的五元组，这样才能保证对双方数据传输的（client）ACK和SYN（server）的正确转换。
（2）如果有多个SYN连接的话，是不是还要为每个SYN链接做（1）中的设计？

dreamice

你所谓的这个记录，实际上内核tcp本身就有实现了，两台机子机的通信。

这里只是要考虑的是非本地IP地址的问题。

Godbach

原帖由 dreamice 于 2009-3-13 15:23 发表
你所谓的这个记录，实际上内核tcp本身就有实现了，两台机子机的通信。

这里只是要考虑的是非本地IP地址的问题。

我说的记录是有如下情况啊：

双方数据传输的（client）ACK和SYN（server）的正确转换

这个转换是应该防火墙来实现的。所以你必须记录那些链接需要转换啊。因为Firewall对传输的报文做了手脚，所以在以后的数据传输中它都要做这个工作。
这个应该是syn-proxy的内部实现了吧。

richardhesidu

原帖由 dreamice 于 2009-3-13 12:12 发表


老大，你这个实现太复杂了。
现在新版内核也支持透明代理，实现非常简单：client发起和server的连接，被proxy拦截（注意这里是拦截），然后伪装成server和client建立起连接，
连接建立成功以后，proxy在伪 ...

好像内核对透明代理的支持，只是内核把数据包forward到一个本地的proxy服务器吧。比如squid。还是内核有了新的功能，可以完全实现代理服务？

Godbach

原帖由 richardhesidu 于 2009-3-13 15:29 发表

好像内核对透明代理的支持，只是内核把数据包forward到一个本地的proxy服务器吧。比如squid。还是内核有了新的功能，可以完全实现代理服务？

对，正想了解这个地方哈

dreamice

原帖由 richardhesidu 于 2009-3-13 15:29 发表

好像内核对透明代理的支持，只是内核把数据包forward到一个本地的proxy服务器吧。比如squid。还是内核有了新的功能，可以完全实现代理服务？

是的，2.6.28版内核支持这个东东，我做国squid的完全透明代理。
其实内核实现了握手这一系列机制，无非就是我上面说的增加了对非本地IP的目的和源包的处理，以及握手机制。

God兄考虑得太复杂了，你首先要明白什么是真正含义的透明代理。