Socketin omistajuus paikallisen välityspalvelimen uudelleenohjaussilmukan katkaisemiseen

Paikallinen sieppaava välityspalvelin avaa uusia lähteviä yhteyksiä. Jos kaiken kattava OUTPUT-uudelleenohjaus nappaa myös ne socketit, se lähettää välityspalvelimen takaisin omaan kuuntelijaansa.

Olemassa olevaan IPv4 iptables NAT -kokoonpanoon erillinen palveluidentiteetti voi erottaa ne socketit:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Tämä sääntökatkelma olettaa, että sieppauskykyinen kuuntelija on jo portissa 8080 ja että välityspalvelimen lähtevät socketit kuuluvat käyttäjälle proxyuser. Kyseisen käyttäjän yhteydet on jätetty tämän säännön ulkopuolelle; muiden käyttäjien kelvolliset yhteydet ohjataan uudelleen.

Selain valitsee yleensä lyhytaikaisen lähdeportin. Lähdeportin 80 tai 443 täsmääminen ei ole luotettava tapa tunnistaa sen verkkosivuyhteyksiä tai vapauttaa välityspalvelinta.

Omistajatäsmäytys koskee paikallisesti tuotettua liikennettä, jolla on socketin omistajuus. Se ei korvaa lähdeosoitepolitiikkaa muista koneista saapuville paketeille.

Pidä nykyinen sääntöjärjestys ja verkkopolitiikka näkyvissä. Uudelleenohjaus ei muuta raakaa SOCKS-kuuntelijaa sieppaussovittimeksi, ja myös IPv6 tarvitsee oman asianmukaisen kokoonpanonsa.