Utiliser la propriété du socket pour casser une boucle de redirection de proxy local
Excluez les sockets sortants du processus proxy lui-même d'une redirection OUTPUT locale plutôt que de deviner ses ports source.
Un proxy d'interception local ouvre de nouvelles connexions sortantes. Si une redirection OUTPUT globale capture aussi ces sockets, elle renvoie le proxy vers son propre écouteur.
Pour une configuration IPv4 iptables NAT existante, une identité de service dédiée peut distinguer ces sockets :
-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
-m multiport --dports 80,443 -j REDIRECT --to-ports 8080Ce fragment de règles suppose que l'écouteur capable d'interception existe déjà sur le port 8080 et que les sockets sortants du proxy appartiennent à proxyuser. Les connexions de cet utilisateur sont exclues de cette règle ; les connexions éligibles d'autres utilisateurs sont redirigées.
Un navigateur choisit normalement un port source éphémère. Faire correspondre le port source 80 ou 443 n'est pas un moyen fiable de reconnaître ses connexions au site ni d'exempter le proxy.
La correspondance de propriétaire concerne le trafic généré localement avec la propriété du socket. Elle ne remplace pas une politique d'adresse source pour les paquets provenant d'autres machines.
Gardez à l'esprit l'ordre des règles existant et la politique réseau. La redirection ne transforme pas un écouteur SOCKS brut en adaptateur d'interception, et IPv6 a aussi besoin de sa configuration appropriée.