iptables-værtsnavneregler er DNS-øjebliksbilleder
Forstå hvorfor en iptables-værtsnavneundtagelse kan holde op med at matche et websted efter DNS-ændringer, og hvor en forward-proxy's domænepolitik er anderledes.
Et værtsnavn i en iptables-kommando slås op, før reglen sendes. Kernelreglen matcher de resulterende adresser; den gentager ikke DNS for hver pakke og undersøger ikke HTTP-værtsnavne.
Når en undtagelse holder op med at virke, sammenlign den numeriske regel og tællerne med den adresse, klienten faktisk brugte. DNS-ændringer, forskellige resolver-svar og ekstra ressourceværter kan efterlade den adresse uden for den gamle regel. Den modsatte risiko er en adresse, der deles med urelaterede tjenester: en IP-undtagelse kan også omfatte dem.
Kontroller rækkefølgen separat. En omgåelse efter en allerede matchende afskæringsaktion kan være for sen, men at flytte den tidligere opretholder ikke dens adressesæt.
| Påkrævet undtagelse | Nødvendig politik |
|---|---|
| Afskær ikke forbindelser til disse netværksdestinationer | Pakkerutningsregler med en passende strategi for adressevedligeholdelse |
| Tillad denne klient at anmode om disse navne gennem Squid | ACL'er for destinationsdomæner på anmodningsniveau plus begrænsninger for klient og port |
En Squid-tilladelse holder anmodningen inde i proxyen. En firewall-omgåelse fjerner den fra Squids autorisationssti. Vælg bevidst mellem dem. Med almindelig CONNECT afslører selv en værtsnavnbevidst proxybeslutning ikke den krypterede webstedssti, så den kan ikke i sig selv blive en undtagelse for sidestien.