Подключите службу systemd Squid к существующему пространству имён выхода

Для пространства имён, уже доступного по адресу /run/netns/proxy-egress, добавьте это в существующий drop-in службы Squid:

[Service]
NetworkNamespacePath=/run/netns/proxy-egress

Разместите службу после компонента, который создаёт пространство имён. Этот параметр не создаёт ни само пространство имён, ни его интерфейсы, адреса или маршруты.

И слушающий, и исходящий сокеты теперь существуют там. Клиентам нужен путь к этому слушателю и его сохранённая политика доступа; loopback хоста не становится автоматически loopback пространства имён.

Файлы resolver требуют отдельного внимания. В отличие от ip netns exec, этот сетевой параметр не монтирует файлы /etc/netns/NAME поверх их обычных путей. Когда развёртыванию нужен файл resolver его пространства имён:

BindReadOnlyPaths=/etc/netns/proxy-egress/resolv.conf:/etc/resolv.conf

Используйте адреса resolver, доступные из этого пространства имён, и объедините их с существующими правилами sandbox/файловой системы. Привязка только исходящего адреса источника Squid не помещает процесс в этот контекст.