TPROXY与ip_conntrack

最新推荐文章于 2024-03-15 09:51:11 发布
最新推荐文章于 2024-03-15 09:51:11 发布 · 125 阅读 · 0

本文探讨了如何通过TPROXY模块实现与IP_TRANSPARENT选项相似的功能，同时避免了使用ip_conntrack带来的开销。TPROXY提供了一种更轻量级的解决方案，通过为每个数据包的五元组进行查找来确定是否属于本地socket，从而在保持IP_TRANSPARENT优势的同时，减少资源消耗。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

《 socket的IP_TRANSPARENT选项实现代理》中，介绍了IP_TRANSPARENT可以使得保留源IP地址的方法，但是使用了ip_conntrack，我们知道ip_conntrack是要么全部conntrack，要么一个不conntrack的，除非你使用了notrack target，但是判决到底使不使用notrack也需要一番功夫，有没有什么办法可以不使用ip_conntrack却又可以使用IP_TRANSPARENT的呢？因为写到了这里，答案显然是有的，那就是TPROXY，这个TPROXY其实也是一个Netfilter模块，它就是平添了一次查找，那就是一个流是不是本地socket相关的，和ip_conntrack没有关系，不过依然要针对每一个数据包的五元组来查找一下是否属于本地的一个socket，看起来显然这是一个轻量级的ip_conntrack(这只是第一印象，到底怎么回事，这里不说，测试了才知道ip_conntrack是多么的高效)。
iteye_3759
关注
tproxy_Iptables+Tproxy+RedSocks(TCP/UDP)透明代理原理浅析
weixin_35950365的博客
01-30 5200
这两天闲着没事简单研究了下关于透明代理的方面的东西，有一些感想来记录下。先来简单说下透明代理的大体流程：1.用户将流量发送的网关服务器2.网关通过设置iptables、ip路由策略方式将感兴趣的流量截获并重定向代理应用程序3.代理应用程序通过某些方式获取原始目标的IP地址和port等信息 最后根据需求来定制实现不同的协议代理(如socks5)...一、第一步没什么好说 直接跳过 。二、 流量转发主...
RK3588 docker以及k3s内核全部开启选项
weixin_64381342的博客
07-23 770
CONFIG_WIFI_LOAD_DRIVER_WHEN_KERNEL_BOOTUP=y CONFIG_AP6XXX=y CONFIG_BCMDHD_SDIO=y # CONFIG_WIFI_BUILD_MODULE is not set CONFIG_FRAMEBUFFER_CONSOLE=y CONFIG_PPP=y CONFIG_PPP_BSDCOMP=y CONFIG_PPP_DEFLATE=y CONFIG_PPP_FILTER=y CONFIG_PPP_MPPE=y CONFIG_PPP_MUL
tproxy, 简单TCP路由代理.zip
09-19
tproxy, 简单TCP路由代理 tproxytproxy是构建在 Gevent 上的简单TCP路由代理( 图层 7 )，它允许你在 python 中配置例程逻辑。 产品受到来自代理机器的启发，但有一些独特的特性，如 borrowed worker worker mo
tproxy_TPROXY使用介绍
weixin_39844426的博客
12-20 1850
1、TPROXY是什么你可能听说过TPROXY，它通常配合负载均衡软件HAPrxoy或者缓存软件Squid使用。在所有"Proxy"类型的应用中都一个共同的问题，就是后端的目标服务器上看到的连接的Source IP都不再是用户原始的IP，而是前端的"Proxy"服务器的IP。拿HAProxy举例来说，假设你有3台后端Web服务器提供服务，前端使用HAProxy作为负载均衡设备。所有用户的HTTP访...
tproxy_Linux TPROXY
weixin_39636411的博客
12-20 808
利用iptables TPROXY target,可以在skb进入到协议栈之前，将skb关联到一个本地监听的socket，并且设置skb的fwmark。可以利用fwmark配置高级路由功能将非本地流量送到本地lo interface，从而能进入本地协议栈的处理。skb随后通过ip_rcv进入本地协议栈处理后，可以直接利用已关联的socket进行处理，而不需像普通的处理流程那样，使用skb中的tcp...
https_tproxy:连接到上行http代理服务器的http tproxy服务器
05-12
https_tproxy 透明的代理网关程序，用于将http，https流量传输到指定的上行链路http代理。 将为https连接透明地准备CONNECT方法（不进行中间人解密）。 GOMAXPROCS=4 https_proxy -in [::]:3128 -out gw.local:8080 如果省略， in默认为：3128默认到哪个端口，您将设置iptables规则的tproxy。 你可以用HTTP_PROXY，HTTPS_PROXY环境变量设置out上行代理。 HTTP_PROXY=http://gw_http.local:8080 HTTPS_PROXY=http://gw_https.local:8080 GOMAXPROCS=4 https_proxy 日语了快速操作方法。
root@ImmortalWrt:~# lsmod | grep ipv6 nf_defrag_ipv6 16384 3 nf_conntrack,xt_TPROXY,nft_tproxy nf_reject_ipv6 12288 2 nft_reject_ipv6,nft_reject_inet nf_tables 237568621 nft_redir,nft_nat,nft_masq,nft_fullcone,nft_flow_offload,nft_fib_inet,nft_ct,nft_chain_nat,nf_flow_table_inet,nft_tproxy,nft_reject_ipv6,nft_reject_ipv4,nft_reject_inet,nft_reject,nft_quota,nft_numgen,nft_log,nft_limit,nft_hash,nft_fib_ipv6,nft_fib_ipv4,nft_fib,nft_compat nf_tproxy_ipv6 12288 2 xt_TPROXY,nft_tproxy nft_fib 12288 3 nft_fib_inet,nft_fib_ipv6,nft_fib_ipv4 nft_fib_ipv6 12288 1 nft_fib_inet nft_reject 12288 3 nft_reject_ipv6,nft_reject_ipv4,nft_reject_inet nft_reject_ipv6 12288 0 root@ImmortalWrt:~# ip -6 addr show | grep -v "fe80" 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 state UNKNOWN qlen 1000 inet6 ::1/128 scope host proto kernel_lo valid_lft forever preferred_lft forever 5: tailscale0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1280 state UNKNOWN qlen 500 inet6 fd7a:115c:a1e0::e01:7872/128 scope global valid_lft forever preferred_lft forever valid_lft forever preferred_lft forever 10: br-lan: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 state UP qlen 1000 inet6 fd22:2c09:bdd5:1::1/64 scope global noprefixroute valid_lft forever preferred_lft forever valid_lft forever preferred_lft forever root@ImmortalWrt:~# nft list ruleset | grep ip6 table ip6 filter { iifname "lo*" ip6 saddr fd7a:115c:a1e0::e01:7872 counter packets 0 bytes 0 accept table ip6 nat { ip6 saddr fe80::/10 icmpv6 type . icmpv6 code { mld-listener-query . 0, mld-listener-report . 0, mld-listener-done . 0, mld2-listener-report . 0 } counter packets 0 bytes 0 accept comment "!fw4: Allow-MLD"
最新发布
03-14
uci set network.lan.ip6hint='1234' # 避免与上游冲突 uci commit network /etc/init.d/network restart ``` #### 步骤 3: 调整nftables规则 ```bash # 临时允许所有IPv6通信（测试用） nft add chain ip6 filter ...
Istio 中实现客户端源 IP 的保持
「 虚幻私塾」
06-08 302
尹烨，腾讯专家工程师， 腾讯云 TCM 产品负责人。在 K8s、Service Mesh 等方面有多年的实践经验。对于很多后端服务业务，我们都希望得到客户端源 IP。云上的负载均衡器，比如，腾讯云 CLB 支持将客户端源IP传递到后端服务。但在使用 istio 的时候，由于 istio ingressgateway 以及 sidecar 的存在，后端服务如果需要获取客户端源 IP，特别是四层协议，情况会变得比较复杂。很多业务场景，我们都希望得到客户端源 IP。云上负载均衡器，比如，腾讯云 CLB支持将客户端
推荐一款开源项目：tproxy
gitblog_00017的博客
03-15 498
推荐一款开源项目：tproxy 什么是 tproxy？ tproxy 是一个基于 Go 的 HTTP/HTTPS 代理服务器，它允许你通过自定义的中间件对请求进行拦截、修改或转发。 tproxy 能用来做什么？ tproxy 可以用于多种场景： API 网关：你可以使用 tproxy 作为 API 网关，对 API 请求进行统一的处理，例如鉴权、限流等。 反向代理：tproxy 可以作为一个反向...
hev-socks5-tproxy:适用于 Linux 的简单、轻量级的 socks5 透明代理。 (TCPUDP over TCPIPv4IPv6)
08-04
HevSocks5Tproxy HevSocks5Tproxy 是一个简单、轻量级的 Linux 透明代理。 特征 IPv4/IPv6。 （双栈） 重定向 TCP 连接。 重定向 UDP 数据包。 （基于 TCP 的 UDP） 如何建造 Linux ： git clone --recursive git://github.com/heiher/hev-socks5-tproxy cd hev-socks5-tproxy make 安卓： mkdir hev-socks5-tproxy cd hev-socks5-tproxy git clone --recursive git://github.com/heiher/hev-socks5-tproxy jni cd jni ndk-build 如何使用 配置 main : socks5 : port : 1080 a
ipt2socks：用于将iptables（redirecttproxy）转换为socks5的实用程序
02-01
ipt2socks：用于将iptables（redirecttproxy）转换为socks5的实用程序
tproxy-example, 如何使用TPROXY来代理tcp连接的示例.zip
09-18
tproxy-example, 如何使用TPROXY来代理tcp连接的示例 tproxy示例Linux的防火墙是其中最强大的网络工具之一。 我最喜欢的特性之一是tproxy目标，它的名称意味着你可以以代理不同类型的连接。在寻找如何使用TPROXY的例子时，我突然出现了。 我唯一能找到的例子就是像Squid这样
iptables目标TPROXY
redwingz的博客
06-26 2350
TPROXY目标帮助信息如下。 如下配置，将目的端口80的报文设置标记1，并且送到本机监听在30080的套接口。 配置如下的IP路由策略，将标记为1的报文，送到本机回环设备lo处理，本机接收： 应用层程序，需要设置套接口IP层选项IP_TRANSPARENT（SOL_IP, IP_TRANSPARENT），以接收代理报文。函数xt_register_targets注册目标结构tproxy_tg_reg。 配置检查函数如下，对于IPv4协议，启用报文重组功能，透明代理仅支持TCP和UDP协议。 目标处理函数如
tproxy 用例
heal the world
02-14 4238
TPROXY - Transparent proxy - TCP program - RHEL6 tcp_tproxy.c /*  * # iptables -t mangle -N DIVERT  * # iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERT  * # iptables -t mangle -
推荐三个计算机网络相关的工具，tproxy，pwru， eCapture
杜绝996的web开发man
06-29 1639
网络工具介绍： tproxy, pwru, eCapture
tproxy_配置 TPROXY 失败，各位给点意见？
weixin_30495789的博客
01-30 1141
最近尝试配置树莓派做透明代理，按说明配置完 TPROXY 后 UDP 协议的转发一直没有成功，调查后发现失败的原因是本地的 ss-redir 一直收不到内核 TPROXY 转发过来的数据包，iptables 是使用 ss-nat 进行配置的，尝试过：1、完全清理掉 iptables 再配置，失败2、自己写了个小程序替代 ss-redir，也收不到3、不使用 ss-nat，手动添加 iptables...
使用 iptables TPROXY 在网关上劫持流量
alenliu's blog
06-02 2720
使用 iptables TPROXY 在网关上劫持流量
tproxy_Linux使用TPROXY进行UDP的透明代理
weixin_39820437的博客
12-20 2954
1.为什么使用TPROXY才能代理UDP在进行TCP的代理时，只要在NET表上无脑进行REDIRECT就好了。例如使用ss-redir,你只要把tcp的流量redirect到ss-redir监听的端口上就OK了。但是当你使用这种方法的时候，就会不正常，因为对于UDP进行redirect之后，原始的目的地址和端口就找不到了。这是为什么呢？ss-redir的原理很简单：使用iptables对PRERO...
ip_conntrack_in
12-31
### 配置 `ip_conntrack` 参数 为了优化和调整 Linux 系统中的网络连接跟踪功能，可以修改内核参数来适应不同的需求。对于 `ip_conntrack_in` 相关的配置，主要涉及以下几个方面： #### 增大跟踪的最大条目数量 通过设置 `net.netfilter.nf_conntrack_max` 可以增加系统能够追踪的最大并发连接数。这有助于防止因连接表溢出而导致丢包或其他性能问题。 ```bash echo "3276800" > /proc/sys/net/netfilter/nf_conntrack_max ``` 或者永久化此更改到 `/etc/sysctl.conf` 文件中并应用: ```bash sysctl -w net.netfilter.nf_conntrack_max=3276800 ``` #### 调整协议超时时间 减少某些类型的连接在建立后的最大存活期限可以帮助释放不再活跃的会话记录，从而提高资源利用率。例如，TCP 已建立状态下的默认超时时长可以从常规值缩短至更短的时间间隔。 ```bash sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=1200 ``` 同样适用于 UDP 和 ICMP 协议： ```bash sysctl -w net.netfilter.nf_conntrack_udp_timeout_stream=180 sysctl -w net.netfilter.nf_conntrack_icmp_timeout=30 ``` 这些操作可以通过编辑 `/etc/sysctl.conf` 来实现持久化的效果[^1]。 #### 故障排查技巧 当遇到与 `ip_conntrack` 相关的问题时，可采取如下措施进行诊断： ##### 查看系统统计信息 利用 `netstat` 或者更为现代的替代品如 `ss` 命令来获取有关当前活动连接的信息，并过滤掉特定错误条件的数据。 ```bash netstat -s | grep "dropped because of missing route" ``` ##### 使用 dmesg 日志分析 结合管道命令 (`|`) 对 `dmesg` 输出的日志消息进行筛选，以便快速定位可能存在的警告或错误提示。 ```bash dmesg | less ``` 也可以直接使用 `grep` 结合关键词搜索具体的异常情况。 ##### 安装必要的工具集 如果发现缺少一些常用的网络调试工具，则可通过软件包管理器安装它们，比如 `traceroute`, `ifconfig`, `netstat` 等等。 ```bash yum -y install traceroute net-tools lrzsz ``` 以上步骤能帮助更好地理解和解决与 `ip_conntrack` 机制相关的各种挑战[^3][^4].
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值