iptables-gasheerreëls is DNS-momentopnames
Verstaan waarom 'n iptables-gasheervrystelling kan ophou om 'n werf te pas ná DNS-veranderinge, en waar 'n vooruitproxy se domeinbeleid verskil.
'n Gasheernaam in 'n iptables-opdrag word opgelos voordat die reël ingedien word. Die kernreël pas die gevolglike adresse; dit herhaal nie DNS vir elke pakket nie en ondersoek ook nie HTTP-gasheername nie.
Wanneer 'n vrystelling ophou werk, vergelyk die numeriese reël en tellers met die adres wat die kliënt werklik gebruik het. DNS-veranderinge, verskillende antwoorde van die oplosser en bykomende hulpbron-gashere kan daardie adres buite die ou reël laat. Die omgekeerde risiko is 'n adres wat met onverwante dienste gedeel word: 'n IP-vrystelling kan dié ook insluit.
Kontroleer ordening afsonderlik. 'n Omseiling ná 'n reeds passende onderskeppingsaksie kan te laat wees, maar om dit vroeër te skuif onderhou nie die adresversameling nie.
| Vereiste vrystelling | Beleid nodig |
|---|---|
| Moenie verbindings na hierdie netwerkbestemmings onderskep nie | Pakketroeteringsreëls met 'n geskikte strategie vir adresinstandhouding |
| Laat hierdie kliënt hierdie name deur Squid aanvra | Bestemmingsdomein-ACL's op versoekvlak plus kliënt- en poortbeperkings |
'n Squid-toelating hou die versoek binne die proxy. 'n Brandmuuromseiling verwyder dit uit Squid se magtigingspad. Kies doelbewus tussen hulle. Met gewone CONNECT maak selfs 'n gasheernaam-bewuste proxybesluit nie die versleutelde werfpad bloot nie, so dit kan nie op sigself 'n bladsypad-vrystelling word nie.