Anslut Squids systemd-tjänst till det befintliga egress-namnrymden

För en namnrymd som redan finns på /run/netns/proxy-egress, slå in detta i Squid-tjänstens befintliga drop-in:

[Service]
NetworkNamespacePath=/run/netns/proxy-egress

Ordna tjänsten efter komponenten som skapar namnrymden. Inställningen skapar varken namnrymden eller dess gränssnitt, adresser eller rutter.

Både lyssnar- och utgående socket finns nu där. Klienter behöver en väg till den lyssnaren och dess bevarade åtkomstpolicy; värdens loopback är inte automatiskt namnrymdens loopback.

Resolverfiler kräver särskild uppmärksamhet. Till skillnad från ip netns exec monterar denna nätverksinställning inte /etc/netns/NAME-filer över sina vanliga sökvägar. När driftsättningen behöver sin namnrymds resolverfil:

BindReadOnlyPaths=/etc/netns/proxy-egress/resolv.conf:/etc/resolv.conf

Använd resolveradresser som nås från den namnrymden och slå samman dem med befintliga sandbox-/filsystemregler. Att bara binda Squids utgående källadress placerar inte processen i denna kontext.