iptables --uid-owner Squid'ning mahalliy soketlariga mos keladi, LAN foydalanuvchilariga emas
Squid chiqishini mulohaza qilganda --uid-owner'ning mahalliy soket yaratuvchi ma'nosidan foydalaning va yo'naltirilgan LAN paketlarini alohida tuting.
iptables owner mosligi mahalliy jarayon soketi yaratgan paketlarni aniqlay oladi. Masalan, -m owner --uid-owner 1234 UID 1234 ga tegishli mahalliy soketni bildiradi; u HTTP proksi foydalanuvchi nomini aniqlamaydi.
Squid ishlayotgan mashinada bu yo'llarni ajrating:
| Trafik | Tegishli farq |
|---|---|
| Mijoz shu mashinadagi Squid'ga ulanadi | Proksi tinglovchisiga kiruvchi ulanish |
| Squid manzil ulanishini ochadi | Mahalliy yaratilgan chiquvchi soket |
| LAN mijozi shu mashina orqali to'g'ridan-to'g'ri yo'naltiradi | Mahalliy yaratuvchi soketi bo'lmagan yo'naltirilgan trafik |
Kengaytma OUTPUT va POSTROUTING da amal qiladi. Yo'naltirilgan paketlarda bu moslik uchun bog'langan mahalliy soket yo'q, shuning uchun FORWARD qoidasi Squid UID ini so'rab uzoq kompyuter foydalanuvchisini topa olmaydi.
Shuning uchun Squid'ning o'z chiquvchi soketlariga ruxsat beruvchi siyosat faqat proksiga tayangan tarmoq loyihasining bir qismini hal qiladi. Shlyuz orqali yo'naltirish, tinglovchiga kirish, boshqa ruxsat etilgan xizmatlar va haqiqiy proksi xizmat hisobi o'z tegishli doirasida ko'rib chiqilishi kerak.
Squid nobody sifatida ishlaydi deb taxmin qilish o'rniga sozlangan ishlash vaqti identifikatoridan foydalaning. Bir nechta jarayon bitta UID ni bo'lishishi mumkin, shuning uchun UID ga asoslangan ruxsat hisob chegarasi, muayyan bajariladigan fayl har bir ruxsat etilgan ulanishni yaratganiga dalil emas.