Proxy transparente para tráfico IPv6 en Linux

Question

Al mantener las redes, a menudo es una tarea conveniente ejecutar un proxy transparente. Por proxy transparente me refiero a un proxy que 'secuestra' las conexiones salientes y las ejecuta a través de un servicio local. Específicamente, ejecuto un firewall de Linux con squid configurado para que todas las conexiones tcp/ip almacenadas en el puerto 80 sean procesadas por squid.

Esto se logra usando la tabla iptables 'nat', usando IPv4.

Pero iptables para IPv6 no tiene una tabla 'nat', por lo que no puedo usar la misma implementación. ¿Cuál es una técnica que puedo usar para proxy transparente de tráfico para conexiones IPv6?

Answer 1

una forma viable de hacerlo es con la regla tproxy en iptables, la documentación está disponible aquí:

• http://wiki.squid-cache.org/Features/Tproxy4#IPv6_Support
• http://www.mjmwired.net/kernel/Documentation/networking/tproxy.txt

Esto debería ser compatible con Squid (> = versión 3.2). Usando --enable-linux-netfilter y la regla iptables -t mangle -j TPROXY.

Answer 2

iptables tiene un objetivo QUEUE, que puede usar para entregar paquetes al espacio de usuario. No estoy seguro, pero tal vez algo podría implementarse allí.

Pasado eso, podría intentar agregar algo al kernel para redirigir.

Answer 3

Otro tipo de feo truco:

• MARK todo el tráfico con iptables (parece, no es objetivo CONNMARK para IPv6)
• ruta todos marcados tráfico a tun dispositivo
• hacer NAT espacio de usuario en el demonio que escucha en el dispositivo tun
• ...

Answer 4

no se puede. Citando de squid-cache.org:

NAT simplemente no existe en IPv6. Por Diseño.

Dado que la transparencia/intercepción es en realidad una característica adquirida por secreto de torsión rutas NAT dentro de ida y vuelta sobre sí mismos. Es bastante lógico que un protocolo sin NAT no puede hacer la transparencia y la interceptación de esa manera.

Answer 5

Escriba su propia implementación de NAT en la pila IPv6.

Answer 6

Aquí es una implementación:

http://www.suse.de/~krahmer/ip6nat/