iptables --uid-owner ustreza lokalnim vtičnicam Squida, ne uporabnikom LAN
Pri presoji izhodnega prometa Squida uporabite pomen --uid-owner kot ustvarjalca lokalne vtičnice in posredovane pakete LAN hranite ločeno.
Ujemanje owner v iptables lahko prepozna pakete, ki jih je ustvarila vtičnica lokalnega procesa. Na primer, -m owner --uid-owner 1234 se nanaša na lokalno vtičnico v lasti UID 1234; ne prepozna uporabniškega imena HTTP proxyja.
Na stroju, kjer deluje Squid, ločite te poti:
| Promet | Ustrezna razlika |
|---|---|
| Odjemalec se poveže s Squidom na tem stroju | Dohodna povezava do poslušalca proxyja |
| Squid odpre povezavo do cilja | Lokalno ustvarjena izhodna vtičnica |
| Odjemalec LAN usmerja neposredno skozi ta stroj | Posredovani promet brez lokalne vtičnice ustvarjalca |
Razširitev velja v OUTPUT in POSTROUTING. Posredovani paketi nimajo povezane lokalne vtičnice za to ujemanje, zato pravilo FORWARD ne more odkriti uporabnika oddaljenega računalnika z vprašanjem po UID Squida.
Pravilo, ki dovoljuje lastne izhodne vtičnice Squida, torej pokriva le en del zasnove omrežja, ki temelji izključno na proxyju. Posredovanje skozi prehod, dostop do poslušalca, druge dovoljene storitve in dejanski račun storitve proxy je treba obravnavati v ustreznem obsegu.
Uporabite konfigurirano identiteto izvajanja, namesto da predpostavljate, da Squid teče kot nobody. Več procesov si lahko deli en UID, zato je dovoljenje na podlagi UID meja računa, ne pa dokaz, da je določena izvršljiva datoteka ustvarila vsako dovoljeno povezavo.