Vincule el servicio systemd de Squid al espacio de nombres de salida existente

Para un espacio de nombres que ya está disponible en /run/netns/proxy-egress, combine esto en el drop-in existente del servicio de Squid:

[Service]
NetworkNamespacePath=/run/netns/proxy-egress

Ordene el servicio después del componente que crea el espacio de nombres. Este ajuste no crea ni el espacio de nombres ni sus interfaces, direcciones o rutas.

Tanto el socket de escucha como el de salida ya existen allí. Los clientes necesitan una ruta hacia ese escucha y su política de acceso conservada; el loopback del host no es automáticamente el loopback del espacio de nombres.

Los archivos de resolución requieren atención aparte. A diferencia de ip netns exec, este ajuste de red no monta los archivos /etc/netns/NAME sobre sus rutas habituales. Cuando el despliegue necesita el archivo de resolución de su espacio de nombres:

BindReadOnlyPaths=/etc/netns/proxy-egress/resolv.conf:/etc/resolv.conf

Use direcciones de resolución accesibles desde ese espacio de nombres y combínelas con las reglas existentes de sandbox/sistema de archivos. Vincular solo la dirección de origen saliente de Squid no sitúa el proceso en este contexto.