WAF nginx反向代理和透明代理

最新推荐文章于 2025-04-30 18:00:00 发布

码农诗人

最新推荐文章于 2025-04-30 18:00:00 发布

阅读量1.4k

点赞数

CC 4.0 BY-SA版权

分类专栏：服务器文章标签： nginx 反向代理透明代理 tproxy

本文链接：https://blog.youkuaiyun.com/ddazz0621/article/details/84977358

服务器专栏收录该内容

14 篇文章

订阅专栏

本文深入探讨了Nginx的反向代理和透明代理配置，详细解释了如何通过iptables和ebtables设置代理规则，包括数据包的重定向、监听和转发流程。适合于网络管理和服务器配置的专业人士。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

下面看一下实例：反向代理（10.0.13.222）和透明代理（10.0.1.66）站点。

反向代理：

Nginx自带反向代理功能，只需在Linux系统上开启相应的端口。

反向代理规则链移植：

iptables -t filter -N waf_proxy
iptables -t filter -A INPUT -j waf_proxy
iptables -A waf_proxy -p tcp -m multiport --ports 8001 -j ACCEPT

透明代理：

数据包从网卡上来，原本经过二层的broute表转发数据包。ebtable命令让其在二层的转发包Drop掉，直接上三层。在broute表添加规则，如下：

数据包上至三层后，首先经过PREROUTING阶段，在该阶段，要给数据包打上MARK标志。如下：

并且调用iptables的TPROXY模块。tproxy功能主要：

重定向一部分经过路由选择的流量到本地路由进程（类似NAT中的REDIRECT）。
使用非本地IP作为源IP初始化连接。
无需iptables参与，在非本地IP上起监听。

tproxy使得打标记的数据包走本地策略路由表3000，如下：

然后在filter的INPUT链上规则，放开本地监听代理端口。如下：

透明代理规则链移植：

ebtables添加链规则：
ebtables -t broute -A waf_redirect -p ipv4 --ip-proto tcp --ip-src 10.0.1.66 --ip-sport 80 -j redirect --redirect-target DROP >/dev/null 2>&1
ebtables -t broute -A waf_redirect -p ipv4 --ip-proto tcp --ip-dst 10.0.1.66 --ip-dport 80 -j redirect --redirect-target DROP >/dev/null 2>&1 

mangle添加链规则：(WAF之前的链waf_redirect在jump_pos链下绑着)
iptables -t mangle -N waf_redirect
iptables -t mangle -A proxy_pos -j waf_redirect

数据包重定向操作：
iptables -t mangle -A waf_redirect -d 10.0.1.66 -p tcp --dport 80 -j TPROXY --tproxy-mark 0x1234 --on-port 8001  >/dev/null 2>&1

mangle添加链添加：（WAF之前的链waf_socket_match在jump_pos链下绑着）
iptables -t mangle -N waf_socket_match
iptables -t mangle -A proxy_pos -j waf_socket_match
        
iptables -t mangle -N DIVERT
iptables -t mangle -A DIVERT -j MARK --set-mark 0x1234
iptables -t mangle -A DIVERT -j ACCEPT

服务端包到本地：
iptables -t mangle -A waf_socket_match -p tcp -s 10.0.1.66 --sport 80 -m socket -j DIVERT >/dev/null 2>&1

filter添加链规则：(iptables接收透明代理回应到本地的数据包)
iptables -A waf_proxy -s 10.0.1.66 -p tcp --sport 80 -j ACCEPT >/dev/null 2>&1（不必须）
iptables -A waf_proxy -d 10.0.1.66 -p tcp --dport 80 -j ACCEPT >/dev/null 2>&1

其它相关配置：

filter添加链规则：（jiaoxt added forward rst pkt for testlink site died）
iptables -t filter -N waf_forward_rst
iptables -t filter -I FORWARD -j waf_forward_rst
        
iptables -A waf_forward_rst -s 10.0.1.66 -p tcp --sport 80 -j REJECT --reject-with tcp-reset >/dev/null 2>&1