Gunakan Hak Milik Soket untuk Memecahkan Gelung Ubah Hala Proksi Tempatan

Kecualikan soket keluar proses proksi itu sendiri daripada ubah hala OUTPUT tempatan dan bukannya meneka port sumbernya.

Proksi pintasan tempatan membuka sambungan keluar baharu. Jika ubah hala OUTPUT menyeluruh turut menangkap soket itu, ia menghantar proksi kembali ke pendengarnya sendiri.

Untuk persediaan IPv4 iptables NAT sedia ada, identiti perkhidmatan khusus boleh membezakan soket tersebut:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Serpihan peraturan ini menganggap pendengar yang mampu memintas sudah wujud pada port 8080 dan soket keluar proksi milik proxyuser. Sambungan pengguna itu dikecualikan daripada peraturan ini; sambungan layak daripada pengguna lain diubah hala.

Pelayar biasanya memilih port sumber efemeral. Memadankan port sumber 80 atau 443 bukan cara yang boleh dipercayai untuk mengenali sambungan laman webnya atau mengecualikan proksi.

Padanan pemilik berkaitan dengan trafik yang dijana secara tempatan dengan hak milik soket. Ia bukan pengganti dasar alamat sumber untuk paket yang tiba daripada mesin lain.

Perhatikan susunan peraturan sedia ada dan dasar rangkaian. Ubah hala tidak menjadikan pendengar SOCKS mentah sebagai penyesuai pintasan, dan IPv6 juga memerlukan konfigurasi yang sesuai.

Artikel berkaitan