iptables --uid-owner atbilst Squid lokālajām ligzdām, nevis LAN lietotājiem
Vērtējot Squid izeju, izmantojiet --uid-owner kā lokālās ligzdas veidotāja nozīmi un turiet pārsūtītos LAN paketus atsevišķi.
iptables owner atbilstība var noteikt paketes, ko izveidojusi lokāla procesa ligzda. Piemēram, -m owner --uid-owner 1234 attiecas uz lokālu ligzdu, kas pieder UID 1234; tas nenosauc HTTP starpniekservera lietotājvārdu.
Datorā, kurā darbojas Squid, atšķiriet šos ceļus:
| Satiksme | Attiecīgā atšķirība |
|---|---|
| Klients savienojas ar Squid šajā datorā | Ienākošs savienojums ar starpniekservera klausītāju |
| Squid atver savienojumu uz galamērķi | Lokāli izveidota izejošā ligzda |
| LAN klients maršrutē tieši caur šo datoru | Pārsūtītā satiksme bez lokālas veidotājas ligzdas |
Paplašinājums ir derīgs OUTPUT un POSTROUTING. Pārsūtītajām paketēm šai atbilstībai nav piesaistītas lokālas ligzdas, tāpēc FORWARD noteikums nevar atklāt attālā datora lietotāju, jautājot Squid UID.
Tāpēc politika, kas atļauj paša Squid izejošās ligzdas, risina tikai vienu daļu no tīkla projekta, kas balstīts vienīgi uz starpniekserveri. Vārtejas pārsūtīšana, klausītāja piekļuve, citi atļautie pakalpojumi un faktiskais starpniekservera pakalpojuma konts jārisina attiecīgajā jomā.
Izmantojiet konfigurēto izpildlaika identitāti, nevis pieņemiet, ka Squid darbojas kā nobody. Vairāki procesi var dalīties vienā UID, tāpēc UID balstīta atļauja ir konta robeža, nevis pierādījums, ka konkrēts izpildfails izveidoja katru atļauto savienojumu.