استفاده از مالکیت سوکت برای شکستن حلقه تغییر مسیر پراکسی محلی

یک پراکسی رهگیری محلی اتصال‌های خروجی تازه باز می‌کند. اگر یک تغییر مسیر فراگیر OUTPUT آن سوکت‌ها را هم بگیرد، پراکسی را به شنونده خودش بازمی‌گرداند.

برای یک پیکربندی موجود IPv4 iptables NAT، یک هویت سرویس اختصاصی می‌تواند آن سوکت‌ها را تشخیص دهد:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

این قطعه از قواعد فرض می‌کند که شنونده توانمند به رهگیری از قبل روی پورت 8080 وجود دارد و سوکت‌های خروجی پراکسی متعلق به proxyuser هستند. اتصال‌های آن کاربر از این قاعده مستثنا هستند؛ اتصال‌های واجد شرایط از کاربران دیگر تغییر مسیر داده می‌شوند.

مرورگر معمولاً یک پورت مبدأ زودگذر انتخاب می‌کند. تطبیق پورت مبدأ 80 یا 443 روش قابل‌اعتمادی برای شناختن اتصال‌های وب‌سایتی آن یا معاف کردن پراکسی نیست.

تطبیق مالک به ترافیک تولیدشده به‌صورت محلی با مالکیت سوکت مربوط است. جایگزین یک سیاست نشانی مبدأ برای بسته‌هایی که از ماشین‌های دیگر می‌رسند نیست.

ترتیب قواعد موجود و سیاست شبکه را در نظر داشته باشید. تغییر مسیر یک شنونده خام SOCKS را به آداپتور رهگیری تبدیل نمی‌کند، و IPv6 هم به پیکربندی مناسب خود نیاز دارد.