iptables --uid-owner Squiden socket lokalekin bat dator, ez LAN erabiltzaileekin
Erabili --uid-ownerren socket lokalaren sortzaile esanahia Squiden irteerari buruz arrazoitzeko eta mantendu birbidalitako LAN paketeak bereizita.
iptablesen owner bat-etortzeak prozesu lokal baten socketak sortutako paketeak identifika ditzake. Adibidez, -m owner --uid-owner 1234 UID 1234rena den socket lokal bati egiten dio erreferentzia; ez du HTTP proxy erabiltzaile-izenik identifikatzen.
Squid exekutatzen duen makina batean, bereizi bide hauek:
| Trafikoa | Garrantzizko bereizketa |
|---|---|
| Bezero bat makinako Squid-era konektatzen da | Proxy entzulearenera sartzen den konexioa |
| Squidek helburu-konexio bat irekitzen du | Lokalean sortutako irteera-socketa |
| LAN bezero batek zuzenean bideratzen du makina honetatik | Sortzaile socket lokalik gabeko birbidalitako trafikoa |
Luzapena OUTPUT eta POSTROUTING kateetan baliozkoa da. Birbidalitako paketeek ez dute socket lokal elkarturik bat-etortze honetarako, beraz FORWARD arau batek ezin du urrutiko ordenagailuaren erabiltzailea aurkitu Squiden UID galdetuz.
Beraz, Squiden irteera-socket propioak baimentzen dituen politikak proxyan soilik oinarritutako sare-diseinu baten zati bat baino ez du lantzen. Gateway bidezko birbidalketa, entzulearen sarbidea, baimendutako beste zerbitzu batzuk eta proxy zerbitzuaren benetako kontua beren esparru egokian kudeatu behar dira.
Erabili konfiguratutako exekuzio-identitatea, Squid nobody gisa exekutatzen dela suposatu beharrean. Hainbat prozesuk UID bat parteka dezakete, beraz UIDn oinarritutako baimena kontu-muga da, ez da froga exekutagarri jakin batek baimendutako konexio guztiak sortu dituenik.