Korištenje vlasništva nad socketom za prekid lokalne proxy petlje preusmjeravanja

Isključite vlastite odlazne sockete proxy procesa iz lokalnog OUTPUT preusmjeravanja umjesto da pogađate njegove izvorne portove.

Lokalni proxy za presretanje otvara nove odlazne veze. Ako sveobuhvatno OUTPUT preusmjeravanje zahvati i te sockete, vraća proxy na njegov vlastiti slušalac.

Za postojeću IPv4 iptables NAT postavku, namjenski identitet usluge može razlikovati te sockete:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Ovaj fragment pravila pretpostavlja da slušalac sposoban za presretanje već postoji na portu 8080 i da odlazni socketi proxyja pripadaju proxyuser. Veze tog korisnika isključene su iz ovog pravila; prihvatljive veze drugih korisnika se preusmjeravaju.

Preglednik obično bira efemerni izvorni port. Uparivanje izvornog porta 80 ili 443 nije pouzdan način da prepoznate njegove veze sa web-stranicom ili izuzmete proxy.

Podudaranje vlasnika tiče se lokalno generiranog prometa s vlasništvom nad socketom. Ono nije zamjena za politiku izvorne adrese za pakete koji dolaze s drugih mašina.

Imajte na umu postojeći redoslijed pravila i mrežnu politiku. Preusmjeravanje ne pretvara sirovi SOCKS slušalac u adapter za presretanje, a IPv6 također treba svoju odgovarajuću konfiguraciju.

Povezani članci