squid 正向代理 透明代理分析
squid无论是正向，反向，透明都可以cache。
connect可以作为正向代理来用。客户端向代理发connect方法，代理会根据connect ip:port或host字段连接上游，并返回给客户端 HTTP/1.0 200 Connection established， 以后的客户端（任意协议）请求都会被代理透传到上 游。clientProcessRequest--> if (r->method == METHOD_CONNECT) sslStart()-->连向上游。
squid transparent（nat代理）：经研究是个半透明代理， 客户端不需要在浏览器中指定代理服务器的地址和端口号，代理服务对客户端用户说是“透明”的，用户甚至并不知道自己已经在使用代理服务了。
但上游还是知道是经过代理了，这样对客户有acl控制的还是不好使。
通过host字段走dns或hosts文件获取 （或SO_ORIGINAL_DST ，有宏控制）从客户端套接字获取上游的ip和端口（因为netfilter会保留nat或redirect过后的数据包的原始数据流，所以可以获取 原始dip）。clientTryParseRequest->parseHttpRequest->clientNatLookup. parseHttpRequest后会通过urlparse重新生成新request，这样host就换成dip。
需要配置nat来实现功能。
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-ports 81
iptables -t nat -A POSTRO UTING -j MASQUERADE
- MASQUERADE - SNAT的一种特殊形式，适用于像adsl这种临时会变的ip上
- REDIRECT - DNAT的一种特殊形式，将网络包转发到本地host上（不管IP头部指定的目标地址是啥）
squid tproxy ： 全透明模式，上游也认为连接的是客户端。 通过设置IP_TPROXY(2.6版本，4.0版本已改为
IP_TRANSPARENT
)选项用客户端地址创建socket，然后连接上游（通过request->host字段或dns获取或hosts文件获取，因为是7层代理，可以通过http头部获取dip；如果是4层代理，dip只能通过SO_ORIGINAL_DST 获取
）。
fwdConnectStart-->用客户端地址设置套接字
IP_TPROXY-》commConnectStart
目测需要如下配置：
/sbin/iptables -t mangle -N DIVERT
/sbin/iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERT
/sbin/iptables -t mangle -A DIVERT -j MARK --set-mark 1
/sbin/iptables -t mangle -A DIVERT -j ACCEPT
/sbin/ip rule add fwmark 1 lookup 100
/sbin/iptables -t mangle -A DIVERT -j MARK --set-mark 1
/sbin/iptables -t mangle -A DIVERT -j ACCEPT
/sbin/ip rule add fwmark 1 lookup 100
/sbin/ip route add local 0.0.0.0/0 dev lo table 100
iptables -t mangle -A PREROUTING -p tcp --dport 80 -j TPROXY --tproxy-mark 0x1/0x1 --on-port 50080
参数说明：
laddr 为代理服务器的本地监听套接字的本地ip，此例中省略，即取本地ip；
lport 为代理服务器的本地监听套接字的本地port，50080（也可以是别的端口，是另一个服务进程监听的端口，是本控件的数据出口）；
mark_value 为mark值，依据此标记值使用ip rule命令工具为标记数据流进行路由选择；
tproxy优势：其的优势在于不对数据包（包头信息）进行任何改变（NAT），就可以重定向数据包。
haproxy透明代理用的就是
IP_TRANSPARENT
参考: http://wiki.squid-cache.org/Features/Tproxy4
http://wiki.squid-cache.org/ConfigExamples/FullyTransparentWithTPROXY
https://www.stunnel.org/pipermail/stunnel-users/2005-August/000711.html 有关ip_tproxy选项
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
_
网桥截取报文到三层
ebtables中的broute表功能：
用于控制进来的数据包是需要进行bridge转发还是进行route转发，即2层转发和3层转发。
BROUTING的ACCEPT/DROP和FORWARD中的区别：
|
|
ACCEPT |
DROP |
| BROUTING |
bridge it |
route it |
| FORWARD |
接收该包，当前主Chain后面的rule则不再需要对其进行匹配处理 |
丢弃该包 |