iptables --uid-owner zodpovedá lokálnym socketom Squidu, nie používateľom LAN
Pri uvažovaní o odchádzajúcej prevádzke Squidu používajte význam --uid-owner ako tvorcu lokálneho socketu a preposielané pakety LAN držte oddelene.
Zhoda owner v iptables dokáže rozpoznať pakety vytvorené socketom lokálneho procesu. Napríklad -m owner --uid-owner 1234 označuje lokálny socket vlastnený UID 1234; neidentifikuje používateľské meno HTTP proxy.
Na stroji so Squidom rozlišujte tieto cesty:
| Prevádzka | Príslušný rozdiel |
|---|---|
| Klient sa pripája k Squidu na tomto stroji | Prichádzajúce spojenie k počúvajúcemu proxy |
| Squid otvára spojenie k cieľu | Lokálne vytvorený odchádzajúci socket |
| Klient LAN smeruje priamo cez tento stroj | Preposielaná prevádzka bez lokálneho socketu tvorcu |
Rozšírenie platí v OUTPUT a POSTROUTING. Preposielané pakety nemajú pre túto zhodu pridružený lokálny socket, takže pravidlo FORWARD nemôže zistiť používateľa vzdialeného počítača otázkou na UID Squidu.
Zásada povoľujúca vlastné odchádzajúce sockety Squidu preto pokrýva len jednu časť návrhu siete postavenej výlučne na proxy. Preposielanie bránou, prístup k počúvajúcemu portu, ďalšie povolené služby a skutočný účet proxy služby sa musia riešiť v príslušnom rozsahu.
Používajte nakonfigurovanú identitu za behu namiesto predpokladu, že Squid beží ako nobody. Viacero procesov môže zdieľať jedno UID, preto je povolenie podľa UID hranicou účtu, nie dôkazom, že konkrétny spustiteľný súbor vytvoril každé povolené spojenie.