iptables --uid-owner mencocokkan soket lokal Squid, bukan pengguna LAN
Gunakan makna --uid-owner sebagai pembuat soket lokal saat menalar egress Squid dan pisahkan paket LAN yang diteruskan.
Pencocokan owner iptables dapat mengidentifikasi paket yang dibuat oleh soket proses lokal. Misalnya, -m owner --uid-owner 1234 merujuk ke soket lokal milik UID 1234; ini tidak mengidentifikasi nama pengguna proxy HTTP.
Pada mesin yang menjalankan Squid, bedakan jalur berikut:
| Lalu lintas | Perbedaan yang relevan |
|---|---|
| Klien terhubung ke Squid di mesin ini | Koneksi masuk ke listener proxy |
| Squid membuka koneksi tujuan | Soket keluar yang dibuat secara lokal |
| Klien LAN merutekan langsung melalui mesin ini | Lalu lintas diteruskan tanpa soket pembuat lokal |
Ekstensi ini valid di OUTPUT dan POSTROUTING. Paket yang diteruskan tidak memiliki soket lokal terkait untuk pencocokan ini, jadi aturan FORWARD tidak dapat menemukan pengguna komputer jarak jauh dengan menanyakan UID Squid.
Kebijakan yang mengizinkan soket keluar Squid sendiri karenanya hanya menangani satu bagian dari rancangan jaringan yang bertumpu pada proxy saja. Penerusan gateway, akses listener, layanan lain yang diizinkan, dan akun layanan proxy yang sebenarnya harus ditangani dalam cakupannya masing-masing.
Gunakan identitas runtime yang dikonfigurasi alih-alih menganggap Squid berjalan sebagai nobody. Beberapa proses dapat berbagi satu UID, jadi izin berbasis UID adalah batas akun, bukan bukti bahwa satu eksekutabel tertentu membuat setiap koneksi yang diizinkan.