Ang iptables --uid-owner ay tumutugma sa mga lokal na socket ng Squid, hindi sa mga user ng LAN
Gamitin ang kahulugan ng --uid-owner bilang tagalikha ng lokal na socket kapag sinusuri ang paglabas ng Squid at ihwalay ang mga paketeng LAN na ipinapasa.
Ang pagtutugma ng owner sa iptables ay makikilala ang mga paketeng nilikha ng socket ng isang lokal na proseso. Halimbawa, ang -m owner --uid-owner 1234 ay tumutukoy sa isang lokal na socket na pagmamay-ari ng UID 1234; hindi nito kinikilala ang isang username ng HTTP proxy.
Sa isang makinang nagpapatakbo ng Squid, ihwalay ang mga landas na ito:
| Trapiko | Kaugnay na pagkakaiba |
|---|---|
| Kumokonekta ang isang kliyente sa Squid sa makinang ito | Papasok na koneksyon sa listener ng proxy |
| Nagbubukas ang Squid ng koneksyon sa destinasyon | Lokal na nilikhang papalabas na socket |
| Direktang nagru-route ang isang kliyente ng LAN sa makinang ito | Trapikong ipinasa na walang lokal na socket na tagalikha |
Wasto ang extension na ito sa OUTPUT at POSTROUTING. Ang mga ipinasa na pakete ay walang kaugnay na lokal na socket para sa pagtutugmang ito, kaya hindi matutuklasan ng isang panuntunang FORWARD ang user ng malayong computer sa pamamagitan ng pagtatanong sa UID ng Squid.
Kaya ang patakarang nagpapahintulot sa sariling papalabas na socket ng Squid ay sumasaklaw lamang sa isang bahagi ng disenyo ng network na umaasa lamang sa proxy. Ang pagpasa sa gateway, pag-access sa listener, iba pang pinapayagang serbisyo at ang aktwal na service account ng proxy ay dapat pangasiwaan sa angkop na saklaw.
Gamitin ang naka-configure na runtime identity sa halip na ipagpalagay na tumatakbo ang Squid bilang nobody. Maaaring magbahagi ang ilang proseso ng isang UID, kaya ang pahintulot na nakabatay sa UID ay hangganan ng account, hindi patunay na isang partikular na executable ang lumikha ng bawat pinapayagang koneksyon.