iptables --uid-owner treff Squid sine lokale socketar, ikkje LAN-brukarar
Bruk tydinga av --uid-owner som lokal socket-skapar når du vurderer den utgåande trafikken til Squid, og hald vidaresende LAN-pakkar åtskilde.
owner-treffet i iptables kan identifisere pakkar som er laga av socketen til ein lokal prosess. Til dømes viser -m owner --uid-owner 1234 til ein lokal socket som er eigd av UID 1234; det identifiserer ikkje eit HTTP-proxybrukarnamn.
På ein maskin som køyrer Squid, skil mellom desse vegane:
| Trafikk | Relevant skilnad |
|---|---|
| Ein klient koplar til Squid på denne maskina | Innkome samband til proxy-lyttaren |
| Squid opnar eit samband til ein destinasjon | Lokalt laga utgåande socket |
| Ein LAN-klient rutar direkte gjennom denne maskina | Vidaresend trafikk utan lokal skapar-socket |
Utvidinga gjeld i OUTPUT og POSTROUTING. Vidaresende pakkar har ingen tilknytt lokal socket for dette treffet, så ei FORWARD-regel kan ikkje avdekkje brukaren på den fjerne maskina ved å spørje etter UID-en til Squid.
Ein politikk som lèt Squid sine eigne utgåande socketar gjennom, dekkjer derfor berre ein del av eit nettverksdesign som byggjer utelukkande på proxy. Vidaresending via gateway, lyttertilgang, andre tillatne tenester og den faktiske proxy-tenestekontoen må handsamast i sitt rette omfang.
Bruk den konfigurerte køyretidsidentiteten i staden for å gå ut frå at Squid køyrer som nobody. Fleire prosessar kan dele ein UID, så ei UID-basert tillating er ei kontogrense, ikkje prov på at éi bestemt køyrbar fil laga kvart tillatne samband.