iptables --uid-owner Squid ના સ્થાનિક સોકેટ સાથે મેળ ખાય છે, LAN વપરાશકર્તાઓ સાથે નહીં
Squid ના ઇગ્રેસ વિશે વિચારતી વખતે --uid-owner નો સ્થાનિક સોકેટ-નિર્માતા અર્થ વાપરો અને ફોરવર્ડ થયેલા LAN પેકેટ અલગ રાખો.
iptables નું owner મેચ સ્થાનિક પ્રક્રિયાના સોકેટ દ્વારા બનેલા પેકેટ ઓળખી શકે છે. ઉદાહરણ તરીકે, -m owner --uid-owner 1234 એ UID 1234 ના માલિકીના સ્થાનિક સોકેટને સૂચવે છે; તે HTTP પ્રોક્સી વપરાશકર્તાનામ ઓળખતું નથી.
Squid ચાલતા મશીન પર, આ માર્ગોને અલગ પાડો:
| ટ્રાફિક | સંબંધિત તફાવત |
|---|---|
| એક ક્લાયન્ટ આ મશીન પર Squid સાથે જોડાય છે | પ્રોક્સી લિસનર તરફ આવતું જોડાણ |
| Squid ગંતવ્ય જોડાણ ખોલે છે | સ્થાનિક રીતે બનેલું બહિર્ગામી સોકેટ |
| LAN ક્લાયન્ટ આ મશીન દ્વારા સીધું રૂટ કરે છે | સ્થાનિક નિર્માતા સોકેટ વગરનું ફોરવર્ડ થયેલું ટ્રાફિક |
આ એક્સ્ટેન્શન OUTPUT અને POSTROUTING માં માન્ય છે. ફોરવર્ડ થયેલા પેકેટ પાસે આ મેચ માટે સંકળાયેલું સ્થાનિક સોકેટ નથી, તેથી FORWARD નિયમ Squid નું UID પૂછીને દૂરના કમ્પ્યુટરનો વપરાશકર્તા શોધી શકતો નથી.
તેથી Squid ના પોતાના બહિર્ગામી સોકેટને મંજૂરી આપતી નીતિ પ્રોક્સી આધારિત નેટવર્ક ડિઝાઇનનો ફક્ત એક ભાગ સંભાળે છે. ગેટવે ફોરવર્ડિંગ, લિસનર ઍક્સેસ, અન્ય મંજૂર સેવાઓ અને વાસ્તવિક પ્રોક્સી સેવા ખાતું તેમના યોગ્ય દાયરામાં સંભાળવા જોઈએ.
Squid nobody તરીકે ચાલે છે એમ માનવાને બદલે ગોઠવેલી રનટાઇમ ઓળખ વાપરો. ઘણી પ્રક્રિયાઓ એક UID વહેંચી શકે છે, તેથી UID-આધારિત મંજૂરી એ ખાતાની સીમા છે, ચોક્કસ એક્ઝિક્યુટેબલે દરેક મંજૂર જોડાણ બનાવ્યું તેનો પુરાવો નથી.