Kasuta socketi omandiõigust, et katkestada kohaliku puhverserveri ümbersuunamise tsükkel

Jätke puhverserveri protsessi enda väljuvad socketid kohalikust OUTPUT-ümbersuunamisest välja, selle asemel et selle lähteportisid arvata.

Kohalik vahendav puhverserver avab uusi väljaminevaid ühendusi. Kui laiaulatuslik OUTPUT-ümbersuunamine haarab ka need socketid, saadab see puhverserveri tagasi tema enda kuulaja juurde.

Olemasoleva IPv4 iptables NAT-i seadistuse jaoks suudab spetsiaalne teenuseidentiteet neid socketid eristada:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

See reeglifragment eeldab, et vahendusvõimeline kuulaja on juba pordil 8080 ja puhverserveri väljuvad socketid kuuluvad kasutajale proxyuser. Selle kasutaja ühendused on sellest reeglist välja jäetud; teiste kasutajate sobilikud ühendused suunatakse ümber.

Brauser valib tavaliselt lühiajalise lähteporti. Lähteporti 80 või 443 sobitamine ei ole usaldusväärne viis selle veebisaidiühenduste tuvastamiseks ega puhverserveri vabastamiseks.

Omandi vaste puudutab kohapeal loodud liiklust socketi omandiõigusega. See ei asenda lähteaadressi poliitikat teistest masinatest saabuvate pakettide jaoks.

Hoidke silmas olemasolevat reeglite järjekorda ja võrgupoliitikat. Ümbersuunamine ei muuda toorest SOCKS-kuulajat vahendusadapteriks ja ka IPv6 vajab oma asjakohast seadistust.

Seotud artiklid