iptables 层面如何做到判断 header 来做反向代理?

[herozzm]

正常情况下，可以用 iptables -t nat -A PREROUTING ... 来实现反向代理的，但是这个层面是无法判断 header 的，那么有其他办法吗？

需求是只允许带有某个 header 的请求反向代理成功，其他一律拒绝

[LGA1150]

iptables nat 表只能匹配到新连接的包，对于 TCP 来说就是 SYN，看不到应用层的数据。

你可能要找的是 ipvs

[Lemeng]

也是来学习的

[wangritian]

@PolarBears 有可能，只允许定制的客户端访问这些端口

@herozzm 一个服务这样做是正常的，几百个就应该在 7 层管理了，除非是特殊需求

[falcon05]

http 明文传输是肯定是可以的，好像以前做过，https 理论上也可以，需要读取私钥或者信任证书，类似 Wireshark 的抓包。但我觉得还是应该在应用层解决比较好

[xenme]

直接 iptables 接管所有流量转发到 nginx，然后再 nginx 处理呗。透明代理现在都是这种思路

[falcon05]

哦，以前做的是拦截某个 header 的 http 请求，比如 X-Forwarded-For

iptables -I INPUT 1 -p tcp --dport 80 -m string --algo bm --string 'X-Forwarded-For:' -j DROP

firewall-cmd --direct --add-rule ipv4 filter INPUT_direct 10 -p tcp --dport 80 -m string --algo bm --string 'X-Forwarded-For:' -j DROP

[julyclyde]

你都明知道不存在了还问啥啊
用-m match 处理并不能保证结果正确