iptables --uid-owner sepadan dengan soket tempatan Squid, bukan pengguna LAN
Gunakan makna --uid-owner sebagai pencipta soket tempatan apabila menaakul egress Squid dan asingkan paket LAN yang diteruskan.
Padanan owner iptables boleh mengenal pasti paket yang dicipta oleh soket proses tempatan. Contohnya, -m owner --uid-owner 1234 merujuk kepada soket tempatan milik UID 1234; ia tidak mengenal pasti nama pengguna proksi HTTP.
Pada mesin yang menjalankan Squid, bezakan laluan ini:
| Trafik | Perbezaan berkaitan |
|---|---|
| Klien bersambung ke Squid pada mesin ini | Sambungan masuk ke pendengar proksi |
| Squid membuka sambungan destinasi | Soket keluar yang dicipta secara tempatan |
| Klien LAN menghalakan terus melalui mesin ini | Trafik diteruskan tanpa soket pencipta tempatan |
Sambungan ini sah dalam OUTPUT dan POSTROUTING. Paket yang diteruskan tidak mempunyai soket tempatan berkaitan untuk padanan ini, jadi peraturan FORWARD tidak boleh menemui pengguna komputer jauh dengan bertanya UID Squid.
Oleh itu dasar yang membenarkan soket keluar Squid sendiri hanya menangani satu bahagian reka bentuk rangkaian yang bergantung pada proksi semata-mata. Penerusan melalui get laluan, akses pendengar, perkhidmatan lain yang dibenarkan dan akaun perkhidmatan proksi sebenar mesti dikendalikan dalam skopnya yang sesuai.
Gunakan identiti masa jalan yang dikonfigurasikan dan bukannya menganggap Squid berjalan sebagai nobody. Beberapa proses boleh berkongsi satu UID, jadi kebenaran berasaskan UID ialah sempadan akaun, bukan bukti bahawa satu fail boleh laku tertentu mencipta setiap sambungan yang dibenarkan.