iptables --uid-owner kongruas kun lokaj ingoj de Squid, ne kun LAN-uzantoj
Uzu la signifon de --uid-owner kiel kreanto de loka ingo, kiam vi pripensas la eliron de Squid, kaj tenu plusenditajn LAN-pakaĵojn aparte.
La owner-kongruo de iptables povas identigi pakaĵojn kreitajn de ingo de loka procezo. Ekzemple, -m owner --uid-owner 1234 rilatas al loka ingo posedata de UID 1234; ĝi ne identigas uzantnomon de HTTP-prokurilo.
Sur maŝino kun Squid, distingi ĉi tiujn vojojn:
| Trafiko | Rilata distingo |
|---|---|
| Kliento konektiĝas al Squid sur ĉi tiu maŝino | Envena konekto al la prokurila aŭskultanto |
| Squid malfermas celan konekton | Loke kreita elira ingo |
| LAN-kliento direktas rekte tra ĉi tiu maŝino | Plusendita trafiko sen loka kreanta ingo |
La etendaĵo validas en OUTPUT kaj POSTROUTING. Plusenditaj pakaĵoj ne havas asociitan lokan ingon por ĉi tiu kongruo, do regulo FORWARD ne povas malkovri la uzanton de la fora komputilo demandante la UID de Squid.
Politiko permesanta la proprajn elirajn ingojn de Squid do traktas nur unu parton de reta dezajno bazita nur sur prokurilo. Enporda plusendado, aliro al la aŭskultanto, aliaj permesitaj servoj kaj la reala prokurila servokonto devas esti traktataj en sia taŭga kadro.
Uzu la agorditan plenum-identon anstataŭ supozi, ke Squid funkcias kiel nobody. Pluraj procezoj povas dividi unu UID, do UID-bazita permeso estas konto-limo, ne pruvo, ke unu specifa plenumebla dosiero kreis ĉiun permesitan konekton.