Правілы імён хастоў у iptables — гэта здымкі DNS
Зразумейце, чаму выключэнне для імя хаста ў iptables можа перастаць супадаць з сайтам пасля змен DNS, і дзе палітыка даменаў прамога проксі адрозніваецца.
Імя хаста ў камандзе iptables вызначаецца да адпраўкі правіла. Правіла ядра супадае з атрыманымі адрасамі; яно не паўтарае DNS для кожнага пакета і не правярае імёны хастоў HTTP.
Калі выключэнне перастае працаваць, параўнайце лікавае правіла і лічыльнікі з адрасам, які кліент фактычна выкарыстаў. Змены DNS, розныя адказы рэзалвера і дадатковыя хасты рэсурсаў могуць пакінуць гэты адрас па-за старым правілам. Зваротная рызыка — адрас, агульны з незвязанымі службамі: выключэнне па IP можа ўключыць і іх.
Праверце парадак асобна. Абыход пасля ўжо спрацавалага дзеяння перахопу можа быць запозненым, але перанос яго раней не падтрымлівае набор адрасоў.
| Патрабаванае выключэнне | Патрэбная палітыка |
|---|---|
| Не перахопліваць злучэнні да гэтых сеткавых прызначэнняў | Правілы маршрутызацыі пакетаў з належнай стратэгіяй падтрымкі адрасоў |
| Дазволіць гэтаму кліенту запытваць гэтыя імёны праз Squid | ACL даменаў прызначэння на ўзроўні запыту плюс абмежаванні кліента і порта |
Дазвол Squid пакідае запыт унутры проксі. Абыход міжсеткавага экрана выводзіць яго з шляху аўтарызацыі Squid. Выбірайце свядома. Пры звычайным CONNECT нават рашэнне проксі, якое ўлічвае імя хаста, не раскрывае шлях зашыфраванага сайта, таму само па сабе не можа стаць выключэннем для шляху старонкі.