iptables --uid-owner vastab Squidi kohalikele socketitele, mitte LAN-kasutajatele
Kasuta --uid-owner'i kohaliku socketi looja tähendust, kui mõtled Squidi väljuvale liiklusele, ja hoia edastatud LAN-paketid eraldi.
iptablesi owner-vastendus suudab tuvastada pakette, mille on loonud kohaliku protsessi socket. Näiteks -m owner --uid-owner 1234 osutab kohalikule socketile, mis kuulub UID-le 1234; see ei tuvasta HTTP-proxy kasutajanime.
Squidi käitavas masinas erista neid teid:
| Liiklus | Asjakohane erinevus |
|---|---|
| Klient ühendub selles masinas Squidiga | Sissetulev ühendus proxy kuulajaga |
| Squid avab sihtkoha ühenduse | Kohapeal loodud väljuv socket |
| LAN-klient marsruudib otse läbi selle masina | Edastatud liiklus ilma kohaliku looja socketita |
Laiendus kehtib OUTPUT ja POSTROUTING ahelas. Edastatud pakettidel ei ole selle vastenduse jaoks seotud kohalikku socketit, seega FORWARD-reegel ei saa Squidi UID-i küsides kaugarvuti kasutajat teada.
Seega poliitika, mis lubab Squidi enda väljuvaid socketeid, katab ainult ühe osa ainult proxy-põhisest võrgukujundusest. Lüüsi edastamine, kuulaja juurdepääs, muud lubatud teenused ja tegelik proxy teenusekonto tuleb käsitleda neile sobivas ulatuses.
Kasuta seadistatud käitusaja identiteeti, mitte eeldust, et Squid töötab kasutajana nobody. Mitmed protsessid võivad jagada ühte UID-i, seega UID-põhine luba on konto piir, mitte tõestus, et üks konkreetne käivitatav fail lõi iga lubatud ühenduse.