From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <olvin@rambler.ru>
Message-ID: <46647164.7040502@rambler.ru>
Date: Mon, 04 Jun 2007 23:09:08 +0300
From: Olvin <olvin@rambler.ru>
User-Agent: Thunderbird 2.0.0.0 (X11/20070326)
MIME-Version: 1.0
To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
References: <f3unks$mag$1@sea.gmane.org>
	<466316AB.5020501@bungarus.info>	<f3vcvc$m30$1@sea.gmane.org>
	<200706040909.00107.ashen@nsrz.ru>
In-Reply-To: <200706040909.00107.ashen@nsrz.ru>
Content-Type: text/plain; charset=KOI8-R; format=flowed
Content-Transfer-Encoding: 8bit
Subject: Re: [Sysadmins]
 =?koi8-r?b?0NLP2tLB3s7ZyiDQ0s/L08kgxMzRINPFwtEg08HN?=
 =?koi8-r?b?z8fP?=
X-BeenThere: sysadmins@lists.altlinux.org
X-Mailman-Version: 2.1.9rc1
Precedence: list
Reply-To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
List-Id: ALT Linux sysadmin discuss <sysadmins.lists.altlinux.org>
List-Unsubscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=unsubscribe>
List-Archive: <http://lists.altlinux.org/pipermail/sysadmins>
List-Post: <mailto:sysadmins@lists.altlinux.org>
List-Help: <mailto:sysadmins-request@lists.altlinux.org?subject=help>
List-Subscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=subscribe>
X-List-Received-Date: Mon, 04 Jun 2007 20:09:16 -0000
Archived-At: <http://lore.altlinux.org/sysadmins/46647164.7040502@rambler.ru/>
List-Archive: <http://lore.altlinux.org/sysadmins/>

Шенцев Алексей Владимирович пишет:
> В сообщении от Monday 04 June 2007 01:51:16 Artem Zolochevskiy написал(а):
>> Максим, тут скорее проблема не в --uid-owner, а в том что на squid приходит
>> запрос с моего внешнего IP. Мысль с --uid-owner понятна. Но работать так не
>> будет (без правки доступа к squid с внешнего IP, что затруднительно по
>> причине его динамичности ).
> А если завернуть трафик на 127.0.0.1 ?

Трафик уже завёрнут на врешний интерфейс (решение о маршрутизации в 
самом начале срабатывает) и его адрес - это SRC пакета. В прозрачной 
переадресации по uid мы меняем DST. Допустим, мы в NAT поменяем и SRC по 
критерию uid (через mangle, а потом через nat), но трафик, получается, 
будет идти с внешнего интерфейса, а адреса будут внутренние, как для 
loopback-интерфейса. Не знаю, как у кого, но у меня такие марсиане 
режутся сразу.

Впрочем, если кому-то такое будет нужно... Но он при этом ССЗБ :)

Вообще, в линуксе не мешало бы дублировать точку решения о маршрутизации 
для локальных процессов или вообще эту точку перенести. Но последнее 
чревато урезанием возможностей netfilter в отношении локально 
сгенерированных пакетов...