Mae iptables --uid-owner yn cyfateb i socedi lleol Squid, nid defnyddwyr LAN
Defnyddiwch ystyr creawdwr soced lleol --uid-owner wrth resymu am allbwn Squid a chadwch becynnau LAN a anfonir ymlaen ar wahân.
Gall cyfatebiaeth owner iptables adnabod pecynnau a grëwyd gan soced proses lleol. Er enghraifft, mae -m owner --uid-owner 1234 yn cyfeirio at soced lleol sy'n eiddo i UID 1234; nid yw'n adnabod enw defnyddiwr proxy HTTP.
Ar beiriant sy'n rhedeg Squid, gwahaniaethwch y llwybrau hyn:
| Traffig | Y gwahaniaeth perthnasol |
|---|---|
| Mae cleient yn cysylltu â Squid ar y peiriant hwn | Cysylltiad sy'n dod i mewn i'r gwrandawr proxy |
| Mae Squid yn agor cysylltiad cyrchfan | Soced allan a grëwyd yn lleol |
| Mae cleient LAN yn llwybro'n uniongyrchol drwy'r peiriant hwn | Traffig a anfonir ymlaen heb soced creawdwr lleol |
Mae'r estyniad yn ddilys yn OUTPUT a POSTROUTING. Nid oes gan becynnau a anfonir ymlaen soced lleol cysylltiedig ar gyfer y gyfatebiaeth hon, felly ni all rheol FORWARD ddarganfod defnyddiwr y cyfrifiadur pell drwy ofyn am UID Squid.
Felly dim ond un rhan o ddyluniad rhwydwaith sy'n seiliedig ar ddirprwy yn unig y mae polisi sy'n caniatáu socedi allan Squid ei hun yn ei thrin. Rhaid trin anfon ymlaen drwy'r giât, mynediad i'r gwrandawr, gwasanaethau caniataol eraill a chyfrif gwasanaeth gwirioneddol y dirprwy yn eu cwmpas priodol.
Defnyddiwch yr hunaniaeth amser rhedeg a gyfluniwyd yn hytrach na thybio bod Squid yn rhedeg fel nobody. Gall sawl proses rannu un UID, felly mae caniatâd yn seiliedig ar UID yn ffin cyfrif yn hytrach na phrawf bod un rhaglen weithredadwy benodol wedi creu pob cysylltiad a ganiateir.