Використання володіння сокетом, щоб розірвати цикл переспрямування локального проксі

Локальний перехоплювальний проксі відкриває нові вихідні з'єднання. Якщо суцільне переспрямування OUTPUT захоплює й ці сокети, воно повертає проксі до його власного слухача.

Для наявної конфігурації IPv4 iptables NAT окрема ідентичність служби може розрізнити ці сокети:

-A OUTPUT -p tcp -m owner ! --uid-owner proxyuser \
  -m multiport --dports 80,443 -j REDIRECT --to-ports 8080

Цей фрагмент правил припускає, що слухач, здатний до перехоплення, вже існує на порту 8080, а вихідні сокети проксі належать proxyuser. З'єднання цього користувача виключені з цього правила; придатні з'єднання інших користувачів переспрямовуються.

Браузер зазвичай вибирає ефемерний порт джерела. Зіставлення порту джерела 80 або 443 не є надійним способом розпізнати його з'єднання із сайтом чи звільнити проксі.

Зіставлення власника стосується локально створеного трафіку з володінням сокетом. Воно не замінює політику адреси джерела для пакетів, що надходять з інших машин.

Тримайте перед очима наявний порядок правил і мережеву політику. Переспрямування не перетворює необроблений слухач SOCKS на адаптер перехоплення, і IPv6 також потребує відповідної конфігурації.