iptables --uid-owner, LAN kullanıcılarıyla değil Squid'in yerel soketleriyle eşleşir
Squid'in dışa çıkışını değerlendirirken --uid-owner'ın yerel soket oluşturucu anlamını kullanın ve iletilen LAN paketlerini ayrı tutun.
iptables owner eşleşmesi, yerel bir sürecin soketi tarafından oluşturulan paketleri tanımlayabilir. Örneğin, -m owner --uid-owner 1234 UID 1234'e ait yerel bir soketi belirtir; bir HTTP proxy kullanıcı adını tanımlamaz.
Squid çalıştıran bir makinede şu yolları ayırın:
| Trafik | İlgili ayrım |
|---|---|
| Bir istemci bu makinedeki Squid'e bağlanır | Proxy dinleyicisine gelen bağlantı |
| Squid bir hedef bağlantısı açar | Yerel olarak oluşturulan giden soket |
| Bir LAN istemcisi doğrudan bu makine üzerinden yönlendirir | Yerel oluşturucu soketi olmayan iletilen trafik |
Bu uzantı OUTPUT ve POSTROUTING'de geçerlidir. İletilen paketlerin bu eşleşme için ilişkili yerel soketi yoktur, bu yüzden bir FORWARD kuralı Squid'in UID'sini sorarak uzak bilgisayarın kullanıcısını bulamaz.
Bu nedenle Squid'in kendi giden soketlerine izin veren bir politika, yalnızca proxy'ye dayanan bir ağ tasarımının yalnızca bir bölümünü ele alır. Ağ geçidi iletimi, dinleyici erişimi, diğer izin verilen hizmetler ve gerçek proxy hizmet hesabı uygun kapsamlarında ele alınmalıdır.
Squid'in nobody olarak çalıştığını varsaymak yerine yapılandırılmış çalışma zamanı kimliğini kullanın. Birden çok süreç tek bir UID'yi paylaşabilir, bu nedenle UID tabanlı izin bir hesap sınırıdır, belirli bir yürütülebilir dosyanın izin verilen her bağlantıyı oluşturduğunun kanıtı değildir.