Usar la propiedad del socket para romper un bucle de redirección de proxy local
Excluya los sockets salientes del propio proceso del proxy de una redirección OUTPUT local en lugar de adivinar sus puertos de origen.
Un proxy de interceptación local abre nuevas conexiones salientes. Si una redirección OUTPUT general captura también esos sockets, devuelve el proxy a su propio receptor.
Para una configuración IPv4 iptables NAT existente, una identidad de servicio dedicada puede distinguir esos sockets:
-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
-m multiport --dports 80,443 -j REDIRECT --to-ports 8080Este fragmento de reglas supone que el receptor con capacidad de interceptación ya existe en el puerto 8080 y que los sockets salientes del proxy pertenecen a proxyuser. Las conexiones de ese usuario quedan excluidas de esta regla; las conexiones elegibles de otros usuarios se redirigen.
Un navegador normalmente elige un puerto de origen efímero. Hacer coincidir el puerto de origen 80 o 443 no es una forma fiable de reconocer sus conexiones al sitio web ni de eximir al proxy.
La coincidencia de propietario se refiere al tráfico generado localmente con propiedad del socket. No sustituye a una política de dirección de origen para los paquetes que llegan de otras máquinas.
Tenga presente el orden de reglas existente y la política de red. La redirección no convierte un receptor SOCKS en bruto en un adaptador de interceptación, y IPv6 también necesita su configuración correspondiente.