Bruke socket-eigarskap til å bryte ei lokal proxy-omdirigeringsløyfe

Ein lokal avskjerande proxy opnar nye utgåande samband. Viss ei brei OUTPUT-omdirigering òg fangar desse socketane, sender ho proxyen tilbake til sin eigen lyttar.

For eit eksisterande IPv4 iptables NAT-oppsett kan ein eigen tenesteidentitet skilje desse socketane:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Dette regelfragmentet føreset at den avskjeringsdyktige lyttaren alt finst på port 8080, og at dei utgåande socketane til proxyen høyrer til proxyuser. Sambanda til denne brukaren er utelukka frå regelen; kvalifiserte samband frå andre brukarar blir omdirigerte.

Ein nettlesar vel vanlegvis ein efemer kjeldeport. Å matche kjeldeport 80 eller 443 er ikkje ein påliteleg måte å kjenne att nettstadssambanda hans på eller frite proxyen.

Eigar-matchinga gjeld lokalt generert trafikk med socket-eigarskap. Ho er ikkje ei erstatning for ein kjeldadressepolitikk for pakkar som kjem frå andre maskiner.

Hald den eksisterande reglerekkjefølgja og nettverkspolitikken i sikte. Omdirigeringa gjer ikkje ein rå SOCKS-lyttar til ein avskjeringsadapter, og IPv6 treng òg sin høvelege konfigurasjon.