Brug socket-ejerskab til at bryde en lokal proxy-omdirigeringsløkke

En lokal opfangende proxy åbner nye udgående forbindelser. Hvis en bred OUTPUT-omdirigering også fanger disse sockets, sender den proxyen tilbage til sin egen lytter.

For en eksisterende IPv4 iptables NAT-opsætning kan en dedikeret tjenesteidentitet skelne disse sockets:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Dette regelfragment forudsætter, at den opfangningsdygtige lytter allerede findes på port 8080, og at proxyens udgående sockets tilhører proxyuser. Denne brugers forbindelser er udelukket fra reglen; kvalificerede forbindelser fra andre brugere omdirigeres.

En browser vælger normalt en efemer kildeport. At matche kildeport 80 eller 443 er ikke en pålidelig måde at genkende dens webstedsforbindelser på eller fritage proxyen.

Ejer-matchningen vedrører lokalt genereret trafik med socket-ejerskab. Den er ikke en erstatning for en kildeadressepolitik for pakker, der ankommer fra andre maskiner.

Hold den eksisterende regelrækkefølge og netværkspolitik for øje. Omdirigeringen gør ikke en rå SOCKS-lytter til en opfangningsadapter, og IPv6 har også brug for sin relevante konfiguration.