iptables --uid-owner pas by Squid se plaaslike sokkets, nie LAN-gebruikers nie
Gebruik die plaaslike sokket-skepper-betekenis van --uid-owner wanneer jy oor Squid se uitgang redeneer en hou deurgestuurde LAN-pakkette apart.
Die iptables-eienaar-ooreenkoms kan pakkette identifiseer wat deur 'n plaaslike proses se sokket geskep is. Byvoorbeeld, -m owner --uid-owner 1234 verwys na 'n plaaslike sokket wat deur UID 1234 besit word; dit identifiseer nie 'n HTTP-proxy-gebruikersnaam nie.
Op 'n masjien waarop Squid draai, onderskei hierdie paaie:
| Verkeer | Relevante onderskeid |
|---|---|
| 'n Kliënt verbind met Squid op hierdie masjien | Inkomende verbinding na die proxy-luisteraar |
| Squid maak 'n bestemmingsverbinding oop | Plaaslik geskepte uitgaande sokket |
| 'n LAN-kliënt roeteer direk deur hierdie masjien | Deurgestuurde verkeer sonder 'n plaaslike skepper-sokket |
Die uitbreiding is geldig in OUTPUT en POSTROUTING. Deurgestuurde pakkette het geen geassosieerde plaaslike sokket vir hierdie ooreenkoms nie, so 'n FORWARD-reël kan nie die remote rekenaar se gebruiker ontdek deur Squid se UID te vra nie.
'n Beleid wat Squid se eie uitgaande sokkets toelaat, dek dus slegs een deel van 'n netwerkontwerp wat net op 'n proxy staatmaak. Deursturing by die poort, toegang tot die luisteraar, ander toegelate dienste en die werklike proxy-diensrekening moet in hul toepaslike omvang hanteer word.
Gebruik die gekonfigureerde runtime-identiteit eerder as om aan te neem Squid loop as nobody. Verskeie prosesse kan een UID deel, so 'n UID-gebaseerde toelating is 'n rekeninggrens eerder as bewys dat een spesifieke uitvoerbare lêer elke toegelate verbinding geskep het.