iptables --uid-owner entsprécht de lokale Sockets vu Squid, net LAN-Benotzer
Benotz d'Bedeitung vun --uid-owner als lokale Socket-Ersteller, wann s du iwwer dem Squid seng Ausgangsverbindung nodenks, a hal déi weidergeluecht LAN-Paketen getrennt.
Den owner-Match vun iptables kann Pakete identifizéieren, déi vum Socket vun engem lokale Prozess erstallt goufen. Zum Beispill bezitt sech -m owner --uid-owner 1234 op e lokale Socket am Besëtz vun UID 1234; et identifizéiert keen HTTP-Proxy-Benotzernumm.
Op enger Maschinn, op där Squid leeft, ënnerscheed dës Weeër:
| Trafic | Relevanter Ënnerscheed |
|---|---|
| E Client verbënnt sech mat Squid op dëser Maschinn | Erauskommend Verbindung zum Proxy-Listener |
| Squid mécht eng Destinatiounsverbindung op | Lokal erstallte Socket fir eraus |
| E LAN-Client rout direkt duerch dës Maschinn | Weidergeluechte Trafic ouni lokale Ersteller-Socket |
D'Erweiderung ass gëlteg an OUTPUT an POSTROUTING. Weidergeluecht Pakete hunn keen zougehéieren lokale Socket fir dëse Match, dofir kann eng FORWARD-Regel de Benotzer vum wäitem Computer net erausfannen, andeems se no dem Squid sengem UID freet.
Eng Politik, déi dem Squid seng eege Sockets fir eraus erlaabt, deckt dofir nëmmen en Deel vun engem Netzwierkdesign of, dat just op e Proxy setzt. D'Weiderleede vum Gateway, den Zougang zum Listener, aner erlaabte Servicer an de richtegen Notzerkont vum Proxy-Service musse jeeweels am passenden Ëmfang behandelt ginn.
Benotz déi konfiguréiert Runtime-Identitéit, amplaz unzehuelen, de Squid géif als nobody lafen. Verschidde Prozesser kënnen eng UID deelen, dofir ass eng UID-baséiert Erlaabnis eng Kontogrenz a keen Beweis, datt een bestëmmte Programm all erlaabt Verbindung erstallt huet.