В минувшие выходные познакомился с relayd(8). Это Layer 7 балансировщик и прокси, этакий F5 для бедных. Запустил я его на своем домашнем маршрутизаторе под управлением OpenBSD. Балансировать мне дома конечно нечего, а вот спроксировать есть чего.
У меня есть IP-телефон. Конфигурируется он, как и положено современному домашнему устройству, с помощью браузера. По умолчанию, из соображений безопасности, он дает себя конфигурировать только из той сети, в которой он сам находится. Проблема в том, что у моего маршрутизатора три внутренних интерфейса, в один из которых кросс-кабелем воткнут IP-телефон, в другой — десктоп, а третий интерфейс — PCI WiFi карта — раздает Интернет в эфир. Столь странная конфигурация связана с тем, что у меня на полочке, где стоит маршрутизатор, абсолютно нет места еще и для коммутатора. Но даже с коммутатором остается отдельная беспроводная сеть, в которой, в частности, находится мой лаптоп.
Раньше я все три интерфейса помещал в бридж, но потом решил, что это нехорошо, и сделал отдельные сети с маршрутизацией. Таким образом IP-телефон можно конфигурировать только lynx’ом с маршрутизатора, все остальные машины в квартире к нему доступа не имеют.
Вообще, описанное поведение телефона легко изменить, убрав соответствующую галочку в настройках, но я решил не ковырять дополнительную дырку в его безопасности. Кроме того мне не хотелось менять заводской пароль, который так легко запоминается: 0000. И я решил проксировать на маршрутизаторе запросы на 80 порт телефона из других сетей.
Первая мысль была вставить в inetd.conf что-то вроде
*:8080 stream tcp nowait nobody /usr/bin/nc nc -w 30 192.168.201.32 80
Это сработало, но было ужасно некрасиво, кроме того вынуждало добавлять в URL в браузере номер порта. И тут я вспомнил, что в OpenBSD был какой-то демон relayd, название которого указывало на то, что он может мне помочь. Чтение документации подтвердило мои ожидания. В результате была сделана следующая конфигурация.
В relayd.conf:
relay "phone" {
listen on 127.0.0.1 port 8080
forward to 192.168.201.32 port http
}
В pf.conf:
pass in quick on !$ext_if proto tcp to 192.168.201.32 port http \
rdr-to 127.0.0.1 port 8080
Получилась красивая прозрачная схема, похожая на ftp-proxy. Теперь можно на любой машине набирать адрес телефона в браузере, и pf будет заворачивать соединение на relayd, который, в свою очередь, будет проксировать его на телефон.