iptables-Hostnamen-Regeln sind DNS-Momentaufnahmen
Verstehen Sie, warum eine iptables-Ausnahme für einen Hostnamen nach DNS-Änderungen eine Website nicht mehr trifft und wo sich die Domänenrichtlinie eines Forward-Proxys unterscheidet.
Ein Hostname in einem iptables-Befehl wird aufgelöst, bevor die Regel übergeben wird. Die Kernel-Regel trifft die resultierenden Adressen; sie wiederholt DNS nicht für jedes Paket und prüft keine HTTP-Hostnamen.
Wenn eine Ausnahme nicht mehr greift, vergleichen Sie die numerische Regel und die Zähler mit der Adresse, die der Client tatsächlich verwendet hat. DNS-Änderungen, unterschiedliche Antworten des Resolvers und zusätzliche Ressourcen-Hosts können diese Adresse außerhalb der alten Regel lassen. Das umgekehrte Risiko ist eine Adresse, die mit fremden Diensten geteilt wird: eine IP-Ausnahme kann diese ebenfalls einschließen.
Prüfen Sie die Reihenfolge getrennt. Eine Umgehung nach einer bereits greifenden Abfangaktion kann zu spät sein, doch ein früheres Verschieben erhält ihre Adressmenge nicht.
| Erforderliche Ausnahme | Benötigte Richtlinie |
|---|---|
| Verbindungen zu diesen Netzwerkzielen nicht abfangen | Paketrouting-Regeln mit einer geeigneten Strategie zur Adresspflege |
| Diesem Client erlauben, diese Namen über Squid anzufordern | Ziel-Domänen-ACLs auf Anfrageebene plus Client- und Portbeschränkungen |
Eine Squid-Freigabe hält die Anfrage im Proxy. Eine Firewall-Umgehung nimmt sie aus dem Autorisierungspfad von Squid. Wählen Sie bewusst zwischen beiden. Bei gewöhnlichem CONNECT legt selbst eine hostnamenbewusste Proxy-Entscheidung den verschlüsselten Pfad der Website nicht offen, kann also allein keine Ausnahme für den Seitenpfad werden.