iptables --uid-owner passar við staðbundin sockets Squid, ekki LAN-notendur
Notaðu merkingu --uid-owner sem skapara staðbundins sockets þegar þú rökræðir útleið Squid og haltu framsendum LAN-pökkum aðskildum.
owner-samsvörun iptables getur auðkennt pakka sem socket staðbundins ferlis hefur búið til. Til dæmis vísar -m owner --uid-owner 1234 til staðbundins sockets í eigu UID 1234; það auðkennir ekki notandanafn HTTP proxy.
Á vél sem keyrir Squid skaltu greina þessar leiðir:
| Umgengni | Viðeigandi greinarmunur |
|---|---|
| Biðlari tengist Squid á þessari vél | Innkomandi tenging við proxy-hlustaran |
| Squid opnar tengingu við áfangastað | Staðbundið búið útleiðarsocket |
| LAN-biðlari beinir beint í gegnum þessa vél | Framsend umgengni án staðbundins skapara-sockets |
Viðbótin gildir í OUTPUT og POSTROUTING. Framsendir pakkar hafa ekkert tilheyrandi staðbundið socket fyrir þessa samsvörun, svo FORWARD-regla getur ekki fundið notanda fjartölvunnar með því að spyrja um UID Squid.
Stefna sem leyfir eigin útleiðarsocket Squid nær því aðeins yfir einn hluta netkerfishönnunar sem byggir eingöngu á proxy. Framleiðsla um gátt, aðgangur að hlustaranum, aðrar leyfðar þjónustur og raunverulegur þjónustureikningur proxysins verða að vera meðhöndluð á viðeigandi sviði.
Notaðu stillta keyrsluauðkennið í stað þess að gera ráð fyrir að Squid keyri sem nobody. Nokkur ferli geta deilt einu UID, svo UID-byggt leyfi er reikningsmörk, ekki sönnun þess að eitt tiltekið keyranlegt forrit hafi búið til hverja leyfða tengingu.