Les regles de nom d'amfitrió d'iptables són instantànies de DNS
Enteneu per què una excepció de nom d'amfitrió a iptables pot deixar de coincidir amb un lloc després de canvis de DNS i on difereix la política de domini d'un proxy directe.
Un nom d'amfitrió en una ordre d'iptables es resol abans que s'enviï la regla. La regla del nucli coincideix amb les adreces resultants; no repeteix DNS per a cada paquet ni inspecciona noms d'amfitrió HTTP.
Quan una excepció deixa de funcionar, compareu la regla numèrica i els comptadors amb l'adreça que el client va utilitzar realment. Els canvis de DNS, les respostes diferents del resolutor i els amfitrions de recursos addicionals poden deixar aquesta adreça fora de la regla antiga. El risc invers és una adreça compartida amb serveis no relacionats: una excepció d'IP també els pot incloure.
Comproveu l'ordre per separat. Un salt després d'una acció d'intercepció que ja coincideix pot ser massa tard, però moure'l abans no manté el seu conjunt d'adreces.
| Excepció necessària | Política necessària |
|---|---|
| No interceptar connexions a aquestes destinacions de xarxa | Regles d'encaminament de paquets amb una estratègia adequada de manteniment d'adreces |
| Permetre que aquest client demani aquests noms a través de Squid | Llistes ACL de domini de destinació a nivell de petició més restriccions de client i port |
Un permís de Squid manté la petició dins del proxy. Un salt del tallafoc la treu del camí d'autorització de Squid. Trieu conscientment entre tots dos. Amb CONNECT ordinari, fins i tot una decisió de proxy conscient del nom d'amfitrió no exposa el camí xifrat del lloc, així que no pot esdevenir per si sola una excepció de camí de pàgina.