Folosirea proprietății socketului pentru a rupe o buclă de redirecționare a proxy-ului local

Un proxy local de interceptare deschide conexiuni de ieșire noi. Dacă o redirecționare OUTPUT generală capturează și acele socketuri, trimite proxy-ul înapoi la propriul său ascultător.

Pentru o configurație IPv4 iptables NAT existentă, o identitate de serviciu dedicată poate distinge acele socketuri:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Acest fragment de reguli presupune că ascultătorul capabil de interceptare există deja pe portul 8080 și că socketurile de ieșire ale proxy-ului aparțin lui proxyuser. Conexiunile acelui utilizator sunt excluse din această regulă; conexiunile eligibile ale altor utilizatori sunt redirecționate.

Un browser alege de obicei un port sursă efemer. Potrivirea portului sursă 80 sau 443 nu este o modalitate sigură de a recunoaște conexiunile sale la site sau de a scuti proxy-ul.

Potrivirea proprietarului se referă la traficul generat local cu proprietatea socketului. Nu înlocuiește o politică de adresă sursă pentru pachetele care sosesc de la alte mașini.

Țineți cont de ordinea regulilor existente și de politica de rețea. Redirecționarea nu transformă un ascultător SOCKS brut într-un adaptor de interceptare, iar IPv6 are nevoie și de configurația sa adecvată.