Използване на собствеността на сокета, за да се прекъсне цикълът на пренасочване на локален прокси

Изключете собствените изходящи сокети на процеса прокси от локално пренасочване OUTPUT, вместо да гадаете неговите изходни портове.

Локалният прихващащ прокси отваря нови изходящи връзки. Ако всеобхватно пренасочване OUTPUT прихване и тези сокети, то връща проксито към собствения му слушател.

За съществуваща настройка IPv4 iptables NAT отделна идентичност на услугата може да различи тези сокети:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Този фрагмент от правила предполага, че слушателят със способност за прихващане вече съществува на порт 8080 и че изходящите сокети на проксито принадлежат на proxyuser. Връзките на този потребител се изключват от това правило; подходящите връзки от други потребители се пренасочват.

Браузърът обикновено избира ефимерен изходен порт. Съпоставянето на изходен порт 80 или 443 не е надежден начин да разпознаете връзките му към сайтове или да освободите проксито.

Съпоставянето на собственик се отнася до локално генериран трафик със собственост на сокета. То не замества политика за адрес на източника за пакети, идващи от други машини.

Дръжте под око съществуващия ред на правилата и мрежовата политика. Пренасочването не превръща суров слушател SOCKS в адаптер за прихващане, а IPv6 също се нуждае от подходящата си конфигурация.

Подобни статии