iptables --uid-owner Squid-in lokal soketlərinə uyğun gəlir, LAN istifadəçilərinə yox
Squid çıxışını düşünərkən --uid-owner-in lokal soket yaradan mənasından istifadə edin və yönləndirilmiş LAN paketlərini ayrı saxlayın.
iptables owner uyğunluğu lokal prosesin soketi tərəfindən yaradılan paketləri müəyyən edə bilər. Məsələn, -m owner --uid-owner 1234 UID 1234-ə məxsus lokal soketi bildirir; o, HTTP proxy istifadəçi adını müəyyən etmir.
Squid işləyən maşında bu yolları fərqləndirin:
| Trafik | Müvafiq fərq |
|---|---|
| Müştəri bu maşında Squid-ə qoşulur | Proxy dinləyicisinə daxil olan bağlantı |
| Squid təyinat bağlantısı açır | Lokal yaradılmış çıxış soketi |
| LAN müştərisi birbaşa bu maşından yönləndirir | Lokal yaradan soketi olmayan yönləndirilmiş trafik |
Genişlənmə OUTPUT və POSTROUTING-də etibarlıdır. Yönləndirilmiş paketlərin bu uyğunluq üçün əlaqəli lokal soketi yoxdur, ona görə FORWARD qaydası Squid-in UID-sini soruşmaqla uzaq kompüterin istifadəçisini tapa bilməz.
Beləliklə, Squid-in öz çıxış soketlərinə icazə verən siyasət yalnız proxy əsaslı şəbəkə dizaynının bir hissəsini həll edir. Şluz yönləndirməsi, dinləyiciyə giriş, digər icazəli xidmətlər və faktiki proxy xidmət hesabı öz uyğun sferasında idarə olunmalıdır.
Squid-in nobody kimi işlədiyini fərz etmək əvəzinə konfiqurasiya edilmiş işləmə kimliyindən istifadə edin. Bir neçə proses bir UID-i paylaşa bilər, ona görə UID əsaslı icazə hesab sərhədidir, konkret bir icra faylının bütün icazəli bağlantıları yaratdığına sübut deyil.