Defnyddio perchnogaeth soced i dorri dolen ailgyfeirio procsi lleol

Mae procsi rhyng-gipio lleol yn agor cysylltiadau allan newydd. Os yw ailgyfeirio OUTPUT cynhwysfawr yn dal y socedi hynny hefyd, mae'n anfon y procsi yn ôl at ei wrandawr ei hun.

Ar gyfer gosodiad IPv4 iptables NAT sy'n bodoli eisoes, gall hunaniaeth gwasanaeth bwrpasol wahaniaethu'r socedi hynny:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Mae'r darn rheolau hwn yn tybio bod y gwrandawr sy'n gallu rhyng-gipio eisoes yn bodoli ar borth 8080 a bod socedi allan y procsi yn perthyn i proxyuser. Mae cysylltiadau'r defnyddiwr hwnnw wedi'u heithrio o'r rheol hon; ailgyfeirir cysylltiadau cymwys gan ddefnyddwyr eraill.

Mae porwr fel arfer yn dewis porth ffynhonnell dros dro. Nid yw paru porth ffynhonnell 80 neu 443 yn ffordd ddibynadwy o adnabod ei gysylltiadau â'r wefan nac o eithrio'r procsi.

Mae'r cyfatebiaeth perchennog yn ymwneud â thraffig a gynhyrchir yn lleol gyda pherchnogaeth soced. Nid yw'n cymryd lle polisi cyfeiriad ffynhonnell ar gyfer pecynnau sy'n dod o beiriannau eraill.

Cadwch drefn y rheolau presennol a'r polisi rhwydwaith mewn golwg. Nid yw'r ailgyfeirio yn troi gwrandawr SOCKS crai yn addasydd rhyng-gipio, ac mae angen ei ffurfweddiad priodol ar IPv6 hefyd.