Koppel Squids systemd-service aan de bestaande egress-naamruimte

Voor een naamruimte die al beschikbaar is op /run/netns/proxy-egress, voeg dit samen in de bestaande drop-in van de Squid-service:

[Service]
NetworkNamespacePath=/run/netns/proxy-egress

Plaats de service na de component die de naamruimte aanmaakt. Deze instelling maakt nog de naamruimte, noch de interfaces, adressen of routes ervan aan.

Zowel de luistersocket als de uitgaande socket bestaan nu daar. Clients hebben een pad naar die listener en het behouden toegangsbeleid nodig; host-loopback is niet automatisch naamruimte-loopback.

Resolverbestanden vragen aparte aandacht. Anders dan ip netns exec koppelt deze netwerkinstelling geen /etc/netns/NAME-bestanden over hun gebruikelijke paden. Wanneer de uitrol het resolverbestand van zijn naamruimte nodig heeft:

BindReadOnlyPaths=/etc/netns/proxy-egress/resolv.conf:/etc/resolv.conf

Gebruik resolveradressen die vanuit die naamruimte bereikbaar zijn en voeg ze samen met bestaande sandbox-/bestandssysteemregels. Alleen het uitgaande bronadres van Squid binden plaatst het proces niet in deze context.