Socket-eigendom gebruiken om een lokale proxy-omleidingslus te doorbreken

Een lokale onderscheppende proxy opent nieuwe uitgaande verbindingen. Als een algemene OUTPUT-omleiding ook die sockets vangt, stuurt die de proxy terug naar zijn eigen luisteraar.

Voor een bestaande IPv4 iptables NAT-opstelling kan een aparte dienstidentiteit die sockets onderscheiden:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Dit regelfragment gaat ervan uit dat de onderscheppingsgeschikte luisteraar al op poort 8080 bestaat en dat de uitgaande sockets van de proxy bij proxyuser horen. Verbindingen van die gebruiker zijn van deze regel uitgesloten; geschikte verbindingen van andere gebruikers worden omgeleid.

Een browser kiest normaal een efemere bronpoort. Bronpoort 80 of 443 matchen is geen betrouwbare manier om zijn websiteverbindingen te herkennen of de proxy vrij te stellen.

De owner-match betreft lokaal gegenereerd verkeer met socket-eigendom. Het is geen vervanging voor een bronadresbeleid voor pakketten die van andere machines komen.

Houd de bestaande regelvolgorde en het netwerkbeleid in het oog. De omleiding maakt van een ruwe SOCKS-luisteraar geen onderscheppingsadapter, en IPv6 heeft ook zijn passende configuratie nodig.