Vlastnictví socketu jako způsob, jak přerušit smyčku přesměrování lokálního proxy

Vylučte vlastní odchozí sockety procesu proxy z lokálního přesměrování OUTPUT, místo abyste hádali jeho zdrojové porty.

Lokální zachytávající proxy otevírá nová odchozí spojení. Pokud je zachytí i plošné přesměrování OUTPUT, pošle proxy zpět k jeho vlastnímu naslouchajícímu socketu.

Pro stávající nastavení IPv4 iptables NAT může tyto sockety rozlišit vyhrazená identita služby:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Tento fragment pravidel předpokládá, že naslouchající socket schopný zachytávání už na portu 8080 existuje a že odchozí sockety proxy patří uživateli proxyuser. Spojení tohoto uživatele jsou z tohoto pravidla vyloučena; způsobilá spojení jiných uživatelů se přesměrují.

Prohlížeč obvykle volí efemérní zdrojový port. Shoda se zdrojovým portem 80 nebo 443 není spolehlivý způsob, jak rozpoznat jeho spojení s webem nebo proxy vyjmout.

Shoda vlastníka se týká lokálně generovaného provozu s vlastnictvím socketu. Nenahrazuje politiku zdrojových adres pro pakety přicházející z jiných strojů.

Mějte na paměti stávající pořadí pravidel i síťovou politiku. Přesměrování nepromění holý naslouchající socket SOCKS v adaptér pro zachytávání a IPv6 také potřebuje svou příslušnou konfiguraci.

Související články