Využitie vlastníctva socketu na prerušenie slučky presmerovania lokálneho proxy

Vylúčte vlastné odchádzajúce sockety procesu proxy z lokálneho presmerovania OUTPUT namiesto hádania jeho zdrojových portov.

Lokálne zachytávajúce proxy otvára nové odchádzajúce spojenia. Ak ich zachytí aj plošné presmerovanie OUTPUT, pošle proxy späť k jeho vlastnému počúvajúcemu socketu.

Pre existujúce nastavenie IPv4 iptables NAT môže tieto sockety rozlíšiť vyhradená identita služby:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Tento fragment pravidiel predpokladá, že počúvajúci socket schopný zachytávania už na porte 8080 existuje a že odchádzajúce sockety proxy patria používateľovi proxyuser. Spojenia tohto používateľa sú z tohto pravidla vylúčené; spôsobilé spojenia iných používateľov sa presmerujú.

Prehliadač zvyčajne volí efemérny zdrojový port. Zhoda so zdrojovým portom 80 alebo 443 nie je spoľahlivý spôsob, ako rozpoznať jeho spojenia s webom alebo proxy vyňať.

Zhoda vlastníka sa týka lokálne generovanej prevádzky s vlastníctvom socketu. Nenahrádza politiku zdrojových adries pre pakety prichádzajúce z iných strojov.

Majte na pamäti existujúce poradie pravidiel aj sieťovú politiku. Presmerovanie nepremení holý počúvajúci socket SOCKS na adaptér na zachytávanie a IPv6 tiež potrebuje svoju príslušnú konfiguráciu.

Súvisiace články