Socket-tulajdonjog használata egy helyi proxy-átirányítási hurok megtörésére

Egy helyi elfogó proxy új kimenő kapcsolatokat nyit. Ha egy átfogó OUTPUT-átirányítás ezeket a socketeket is elkapja, visszaküldi a proxyt a saját figyelőjéhez.

Egy meglévő IPv4 iptables NAT-beállításnál egy dedikált szolgáltatásidentitás meg tudja különböztetni ezeket a socketeket:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Ez a szabálytöredék feltételezi, hogy az elfogásra képes figyelő már létezik a 8080-as porton, és a proxy kimenő socketjei a proxyuserhez tartoznak. Ennek a felhasználónak a kapcsolatai ki vannak zárva ebből a szabályból; más felhasználók jogosult kapcsolatai átirányításra kerülnek.

A böngésző általában rövid életű forrásportot választ. A 80-as vagy 443-as forrásport egyeztetése nem megbízható módja a webhelykapcsolatai felismerésének vagy a proxy mentesítésének.

A tulajdonos egyeztetés a socket-tulajdonjoggal rendelkező, helyben előállított forgalomra vonatkozik. Nem helyettesíti a forráscím-szabályzatot a más gépekről érkező csomagok esetében.

Tartsa szem előtt a meglévő szabálysorrendet és a hálózati szabályzatot. Az átirányítás nem alakítja a nyers SOCKS-figyelőt elfogó adapterré, és az IPv6-nak is szüksége van a megfelelő konfigurációjára.