Pravidla názvů hostitelů v iptables jsou snímky DNS
Pochopte, proč výjimka pro název hostitele v iptables může po změnách DNS přestat odpovídat webu a kde se doménová politika dopředné proxy liší.
Název hostitele v příkazu iptables se přeloží dříve, než se pravidlo odešle. Pravidlo jádra odpovídá výsledným adresám; neopakuje DNS pro každý paket ani nezkoumá názvy hostitelů HTTP.
Když výjimka přestane fungovat, porovnejte číselné pravidlo a čítače s adresou, kterou klient skutečně použil. Změny DNS, různé odpovědi překladače a další hostitelé prostředků mohou tuto adresu nechat mimo staré pravidlo. Opačným rizikem je adresa sdílená s nesouvisejícími službami: výjimka pro IP je může zahrnout také.
Pořadí kontrolujte zvlášť. Obchvat po již odpovídající akci zachycení může být příliš pozdě, ale jeho přesunutí dříve neudržuje množinu adres.
| Požadovaná výjimka | Potřebná politika |
|---|---|
| Nezachytávat připojení k těmto síťovým cílům | Pravidla směrování paketů s vhodnou strategií údržby adres |
| Povolit tomuto klientovi žádat tyto názvy přes Squid | ACL cílových domén na úrovni požadavku plus omezení klienta a portu |
Povolení v Squidu drží požadavek uvnitř proxy. Obchvat firewallu ho vyjímá z autorizační cesty Squidu. Vybírejte vědomě. U běžného CONNECT ani rozhodnutí proxy, které zná název hostitele, neodhalí cestu šifrovaného webu, takže se samo nemůže stát výjimkou pro cestu stránky.