Bruk socket-eierskap til å bryte en lokal proxy-omdirigeringsløkke

En lokal avskjærende proxy åpner nye utgående forbindelser. Hvis en bred OUTPUT-omdirigering også fanger disse socketene, sender den proxyen tilbake til sin egen lytter.

For et eksisterende IPv4 iptables NAT-oppsett kan en dedikert tjenesteidentitet skille disse socketene:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Dette regelfragmentet forutsetter at den avskjæringsdyktige lytteren allerede finnes på port 8080, og at proxyens utgående socketer tilhører proxyuser. Denne brukerens forbindelser er utelukket fra regelen; kvalifiserte forbindelser fra andre brukere omdirigeres.

En nettleser velger normalt en efemer kildeport. Å matche kildeport 80 eller 443 er ikke en pålitelig måte å gjenkjenne nettstedforbindelsene på eller frita proxyen.

Eier-matchingen gjelder lokalt generert trafikk med socket-eierskap. Den er ikke en erstatning for en kildeadressepolicy for pakker som kommer fra andre maskiner.

Hold den eksisterende reglerækkefølgen og nettverkspolicyen i sikte. Omdirigeringen gjør ikke en rå SOCKS-lytter til en avskjæringsadapter, og IPv6 trenger også sin tilhørende konfigurasjon.