Օգտագործել սոքեթի սեփականությունը՝ տեղական պրոքսիի վերահասցեավորման օղակը կտրելու համար

Տեղական ընդհատող պրոքսին բացում է նոր ելքային միացումներ։ Եթե համապարփակ OUTPUT վերահասցեավորումը գրավում է նաև այդ սոքեթները, այն պրոքսին հետ է ուղարկում իր իսկ լսողին։

Գոյություն ունեցող IPv4 iptables NAT կարգավորման համար առանձին ծառայության ինքնությունը կարող է տարբերել այդ սոքեթները.

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Այս կանոնի հատվածը ենթադրում է, որ ընդհատման ընդունակ լսողն արդեն գոյություն ունի 8080 նավահանգստում, և պրոքսիի ելքային սոքեթները պատկանում են proxyuser-ին։ Այդ օգտատիրոջ միացումները բացառված են այս կանոնից. այլ օգտատերերի համապատասխան միացումները վերահասցեավորվում են։

Դիտարկիչը սովորաբար ընտրում է ժամանակավոր աղբյուր նավահանգիստ։ 80 կամ 443 աղբյուր նավահանգստի համընկնումը հուսալի միջոց չէ նրա կայքի միացումները ճանաչելու կամ պրոքսին ազատելու համար։

Սեփականատիրոջ համընկնումը վերաբերում է տեղում ստեղծված թրաֆիկին՝ սոքեթի սեփականությամբ։ Այն աղբյուրի հասցեի քաղաքականության փոխարինող չէ այլ մեքենաներից եկող փաթեթների համար։

Մտքում պահեք գոյություն ունեցող կանոնների հերթականությունը և ցանցային քաղաքականությունը։ Վերահասցեավորումը չի դարձնում հում SOCKS լսողը ընդհատման ադապտեր, և IPv6-ը նույնպես պահանջում է իր համապատասխան կազմաձևը։