iptables – portforward

[gabaman]

vvaassyy wrote:

Nem ertem mi rosszat mondtam….

Ezt írtam: “a szelekció nem TCP/IP, hanem HTTP (layer 4) szinten van”, mire a válaszod: “jobb lett volna valami kernel szintu forward a http fejlec alapjan”. Természetesen még mindig nem érted mi a probléma. Egy közhely szerint “aki repülni akar, előbb tanuljon meg járni”. Azaz nem tudod mi az OSI modell, de reverse proxy-t építesz több webszerver számra. Innentől kezdve felesleges részleteznem a speciális repülést.

vvaassyy wrote:

szerintem remek hogy segitettél, kár elrontani undoksággal a végét.

Szó sincs undokságról, mivel semmi személyeskedés nincs abban amit írtam. Továbbra is fenntartom, teljesen feleslegesen írtam részleteket, semmi értelme sincs. Kizárólag magamat hibáztatom. Neked – jogosan – csak annyit problémád lehet, hogy nem az alapoktól kezdtem el a válaszom írását. Ha egyszer leírtam, már nem törlöm ki. Egyszerűen rosszul mértem fel mi a segítség és mi a túl sok felesleges locsogás.

[vvaassyy]

dehogy…. en kiprobaltam az apache-val a megoldast azota, remekul mukodik. Amig ki nem talalom hogy megy a kernel szintu portforward http fejlec alapjan, addig remek lesz ez a megoldas is. Egyenlore ez van.

[kisbetu]

Erre…
http://www.linuxforum.hu/user/4443

(Tudom: bármiféle hasonlóság kizárólag a Véletlen műve lehet.)

[kisbetu]

vvaassyy wrote:

Amig ki nem talalom hogy megy a kernel szintu portforward http fejlec alapjan

Amíg nem írod meg, nem fog menni.

[gabaman]

Eszembe jutott erről egy vicc: egy faluban néhány turista megkérdez egy helyi paraszt bácsit, milyen távol van a következő falú. A válasz: légvonalban 2 km, de tudok egy rövidebb utat az erdőn át.

Az RFC2616 hivatkozik: (http://www.ietf.org/rfc/rfc2616.txt, Hypertext Transfer Protocol — HTTP/1.1)

4.1 Message Types

HTTP messages consist of requests from client to server and responses
from server to client.

HTTP-message = Request | Response ; HTTP/1.1 messages

Request (section 5) and Response (section 6) messages use the generic
message format of RFC 822 [9] for transferring entities (the payload
of the message).

az RFC822-re ami ezt állítja: (http://www.ietf.org/rfc/rfc822.txt, STANDARD FOR THE FORMAT OF ARPA INTERNET TEXT MESSAGES)

4.1. SYNTAX

Note: Due to an artifact of the notational conventions, the syn-
tax indicates that, when present, some fields, must be in
a particular order. Header fields are NOT required to
occur in any particular order, except that the message
body must occur AFTER the headers.

Ez kb. 0,5 perc google keresés eredménye. Azaz a “Host:” mező bárhol lehet a HTTP fejlécben, akár egy 10MB-os POST mező után is. Mivel így – az IP protokoll méretét nem számolva – a 6990. csomagban kezdődik a “Host” mező (MTU: 1500), nem sok értelme van a kernelben implementálni a HTTP-t. Ráadásul ott az epoll, ami sebesség szempontjából is értelmetlenné teszi a kernel szintű implementációt. De gyakran az akarat felülírja a tényeket és a józan észt…

[vvaassyy]

Volt egy olyan tippem hogy az iptables mangle tablajaval kell mahinalni, de akkor ezexerint nem lehet vele megcsinalni ha jol gondolom. Masik amire gondoltam hogy layer7 proxy kell nekem, legalabb is ezt javasolta a google egyik keresesi eredmenye. Lehet butasagot kerdezek lehet most: apache2 es az a modul lenyegeben layer7 proxy ?

[vvaassyy]

Sziasztok! Szeretnék egy tűzfal szervert úgy beállitani hogy a belsö hálozatra (ahol 2 darab webserver van) forwardolja a net felöl a 80-as portot. 2 web szerver 2 privát IP cimmel, és egy linux tűzfalszerver egy darab publikus IP-vel. Ugy szerretném beállitani hogy annak annak a webszervernek forvardolja a tűzfal a csomagot amelyiken van az adott weboldal. Szoval a webszerveren vhostok vannak. mind két webszerver 80-as porton megy, a publikus ip-re érkező HTTP kérések szintén (csak egy darabporton) a 80-as porton jönnek.

Van Ötlete valakinek?

[vvaassyy]

Ez nem En vagyok 😛

[gabaman]

A vhost alapú forgalomirányítás user-space layer-4, a többi (session, file típus kezelés, GET/POST manipuláció, stb.) már layer-7. De minderre magadtól is rájöhettél volna, ha utánanézel mi is a korábban emlegetett OSI modell.

[Szerző]

Bejegyzés