Правилата за имена на хостове в iptables са DNS снимки
Разберете защо изключение за име на хост в iptables може да спре да съвпада със сайт след промени в DNS и къде домейн политиката на преден прокси се различава.
Името на хост в команда на iptables се разрешава, преди правилото да бъде подадено. Правилото на ядрото съвпада с получените адреси; то не повтаря DNS за всеки пакет и не проверява имена на хостове в HTTP.
Когато изключение спре да работи, сравнете числовото правило и броячите с адреса, който клиентът действително е използвал. Промени в DNS, различни отговори на резолвера и допълнителни хостове на ресурси могат да оставят този адрес извън старото правило. Обратният риск е адрес, споделен с несвързани услуги: изключение по IP може да включи и тях.
Проверете подредбата отделно. Обход след вече съвпадащо действие за прихващане може да е твърде късно, но преместването му по-рано не поддържа набора от адреси.
| Изисквано изключение | Необходима политика |
|---|---|
| Без прихващане на връзки към тези мрежови дестинации | Правила за маршрутизиране на пакети с подходяща стратегия за поддръжка на адреси |
| Разрешаване на този клиент да заявява тези имена през Squid | ACL за домейни на дестинация на ниво заявка плюс ограничения за клиент и порт |
Разрешението в Squid задържа заявката вътре в проксито. Обходът на защитната стена я изважда от пътя за оторизация на Squid. Избирайте съзнателно между двете. При обикновен CONNECT дори решение на прокси, съобразено с име на хост, не разкрива пътя на криптирания сайт, така че само по себе си не може да стане изключение за път на страница.