iptables --uid-owner përputhet me socket-at lokalë të Squid, jo me përdoruesit e LAN
Përdorni kuptimin e --uid-owner si krijues i socket-it lokal kur arsyetoni mbi daljen e Squid dhe mbajini të ndara paketat LAN të përcjella.
Përputhja owner e iptables mund të identifikojë paketat e krijuara nga socket-i i një procesi lokal. Për shembull, -m owner --uid-owner 1234 i referohet një socket-i lokal në pronësi të UID 1234; nuk identifikon një emër përdoruesi të proxy HTTP.
Në një makinë që ekzekuton Squid, dalloni këto rrugë:
| Trafiku | Dallimi përkatës |
|---|---|
| Një klient lidhet me Squid në këtë makinë | Lidhje hyrëse drejt dëgjuesit të proxy |
| Squid hap një lidhje drejt destinacionit | Socket dalës i krijuar lokalisht |
| Një klient LAN rrugëton drejtpërdrejt nëpër këtë makinë | Trafik i përcjellë pa socket krijues lokal |
Zgjerimi është i vlefshëm në OUTPUT dhe POSTROUTING. Paketat e përcjella nuk kanë socket lokal të lidhur për këtë përputhje, prandaj një rregull FORWARD nuk mund të zbulojë përdoruesin e kompjuterit në distancë duke kërkuar UID-në e Squid.
Prandaj një politikë që lejon socket-at dalës të vetë Squid mbulon vetëm një pjesë të një dizajni rrjeti që mbështetet vetëm në proxy. Përcjellja përmes gateway-it, aksesi ndaj dëgjuesit, shërbimet e tjera të lejuara dhe llogaria reale e shërbimit proxy duhet të trajtohen në fushën e tyre të duhur.
Përdorni identitetin e konfiguruar të kohës së ekzekutimit në vend që të supozoni se Squid ekzekutohet si nobody. Disa procese mund të ndajnë një UID, prandaj një leje e bazuar në UID është kufi llogarie, jo provë që një ekzekutues i caktuar krijoi çdo lidhje të lejuar.