Wykorzystanie własności gniazda do przerwania lokalnej pętli przekierowania proxy

Lokalne proxy przechwytujące otwiera nowe połączenia wychodzące. Jeśli ogólne przekierowanie OUTPUT przechwyci także te gniazda, odeśle proxy z powrotem do jego własnego nasłuchu.

W istniejącej konfiguracji IPv4 iptables NAT dedykowana tożsamość usługi może rozróżnić te gniazda:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Ten fragment reguł zakłada, że nasłuch zdolny do przechwytywania już istnieje na porcie 8080, a gniazda wychodzące proxy należą do użytkownika proxyuser. Połączenia tego użytkownika są wyłączone z tej reguły; kwalifikujące się połączenia innych użytkowników są przekierowywane.

Przeglądarka zwykle wybiera efemeryczny port źródłowy. Dopasowywanie portu źródłowego 80 lub 443 nie jest niezawodnym sposobem rozpoznawania jej połączeń z witryną ani zwalniania proxy.

Dopasowanie właściciela dotyczy ruchu generowanego lokalnie z własnością gniazda. Nie zastępuje polityki adresu źródłowego dla pakietów przychodzących z innych maszyn.

Miej na uwadze istniejącą kolejność reguł i politykę sieciową. Przekierowanie nie zamienia surowego nasłuchu SOCKS w adapter przechwytujący, a IPv6 również wymaga odpowiedniej konfiguracji.