Коришћење власништва над сокетом за прекид локалне петље преусмеравања проксија

Искључите сопствене одлазне сокете прокси процеса из локалног OUTPUT преусмеравања уместо да погађате његове изворне портове.

Локални прокси за пресретање отвара нове одлазне везе. Ако свеобухватно OUTPUT преусмеравање захвати и те сокете, враћа прокси на његов сопствени слушалац.

За постојећу IPv4 iptables NAT поставку, наменски идентитет услуге може разликовати те сокете:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Овај фрагмент правила претпоставља да слушалац способан за пресретање већ постоји на порту 8080 и да одлазни сокети проксија припадају proxyuser. Везе тог корисника су искључене из овог правила; прихватљиве везе других корисника се преусмеравају.

Прегледач обично бира ефемерни изворни порт. Упаривање изворног порта 80 или 443 није поуздан начин да препознате његове везе са веб-страницом или изузмете прокси.

Подударање власника односи се на локално генерисани саобраћај са власништвом над сокетом. Оно није замена за политику изворне адресе за пакете који долазе са других машина.

Имајте на уму постојећи редослед правила и мрежну политику. Преусмеравање не претвара сирови SOCKS слушалац у адаптер за пресретање, а IPv6 такође треба своју одговарајућу конфигурацију.

Повезани чланци