Squids systemd-Dienst an den vorhandenen Egress-Namespace anbinden

Für einen Namespace, der bereits unter /run/netns/proxy-egress verfügbar ist, fügen Sie dies in das vorhandene Squid-Service-Drop-in ein:

[Service]
NetworkNamespacePath=/run/netns/proxy-egress

Ordnen Sie den Dienst nach der Komponente an, die den Namespace erzeugt. Die Einstellung erzeugt weder den Namespace noch seine Schnittstellen, Adressen oder Routen.

Sowohl der lauschende als auch der ausgehende Socket existieren jetzt dort. Clients benötigen einen Weg zu diesem Listener und dessen beibehaltene Zugriffsrichtlinie; Host-Loopback ist nicht automatisch Namespace-Loopback.

Resolver-Dateien erfordern gesonderte Aufmerksamkeit. Anders als ip netns exec bindet diese Netzwerkeinstellung /etc/netns/NAME-Dateien nicht über ihre üblichen Pfade ein. Wenn das Deployment seine Namespace-Resolver-Datei benötigt:

BindReadOnlyPaths=/etc/netns/proxy-egress/resolv.conf:/etc/resolv.conf

Verwenden Sie Resolver-Adressen, die aus diesem Namespace erreichbar sind, und führen Sie sie mit bestehenden Sandbox-/Dateisystemregeln zusammen. Nur die ausgehende Quelladresse von Squid zu binden, versetzt den Prozess nicht in diesen Kontext.