Uzi posedon de ingo por rompi lokan prokuran ciklon de alidirektado

Loka interkapta prokuro malfermas novajn elirantajn konektojn. Se ĝenerala OUTPUT-alidirektado kaptas ankaŭ tiujn ingojn, ĝi resendas la prokuron al ĝia propra aŭskultanto.

Por ekzistanta IPv4 iptables NAT-agordo, dediĉita serva identeco povas distingi tiujn ingojn:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Ĉi tiu regul-fragmento supozas, ke la interkaptokapabla aŭskultanto jam ekzistas sur pordo 8080 kaj ke la elirantaj ingoj de la prokuro apartenas al proxyuser. La konektoj de tiu uzanto estas ekskluditaj el ĉi tiu regulo; taŭgaj konektoj de aliaj uzantoj estas alidirektataj.

Retumilo kutime elektas efemeran fontan pordon. Kongruigi fontan pordon 80 aŭ 443 ne estas fidinda maniero rekoni ĝiajn retejajn konektojn aŭ liberigi la prokuron.

La posedanta kongruo koncernas loke generitan trafikon kun inga posedo. Ĝi ne anstataŭas fontadresan politikon por pakaĵoj alvenantaj de aliaj maŝinoj.

Konservu la ekzistantan regulordon kaj retan politikon en la vido. La alidirektado ne ŝanĝas krudan SOCKS-aŭskultanton en interkaptan adaptilon, kaj IPv6 ankaŭ bezonas sian koncernan agordon.