Gebruik socket-eienaarskap om 'n plaaslike proxy-herleidingslus te breek

'n Plaaslike onderskeppingsproxy maak nuwe uitwaartse verbindings oop. As 'n allesomvattende OUTPUT-herleiding daardie sockets ook vang, stuur dit die proxy terug na sy eie luisteraar.

Vir 'n bestaande IPv4 iptables NAT-opstelling kan 'n toegewyde diensidentiteit daardie sockets onderskei:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Hierdie reëlstuk aanvaar dat die onderskeppingsvermoënde luisteraar reeds op poort 8080 bestaan en dat die proxy se uitwaartse sockets aan proxyuser behoort. Daardie gebruiker se verbindings word van hierdie reël uitgesluit; geskikte verbindings van ander gebruikers word herlei.

'n Blaaier kies gewoonlik 'n efemere bronpoort. Om bronpoort 80 of 443 te pas is nie 'n betroubare manier om sy webwerfverbindings te herken of die proxy vry te stel nie.

Die eienaar-ooreenkoms handel oor plaaslik gegenereerde verkeer met socket-eienaarskap. Dit is nie 'n plaasvervanger vir 'n bronadresbeleid op pakkette wat van ander masjiene aankom nie.

Hou die bestaande reëlvolgorde en netwerkbeleid in sig. Die herleiding verander nie 'n rou SOCKS-luisteraar in 'n onderskeppingsadapter nie, en IPv6 benodig ook sy toepaslike konfigurasie.