Οι κανόνες ονομάτων κεντρικών υπολογιστών του iptables είναι στιγμιότυπα DNS
Κατανοήστε γιατί μια εξαίρεση ονόματος κεντρικού υπολογιστή στο iptables μπορεί να πάψει να ταιριάζει με έναν ιστότοπο μετά από αλλαγές DNS και πού διαφέρει η πολιτική τομέα ενός forward proxy.
Ένα όνομα κεντρικού υπολογιστή σε εντολή iptables επιλύεται πριν υποβληθεί ο κανόνας. Ο κανόνας του πυρήνα ταιριάζει με τις διευθύνσεις που προκύπτουν· δεν επαναλαμβάνει DNS για κάθε πακέτο ούτε εξετάζει ονόματα κεντρικών υπολογιστών HTTP.
Όταν μια εξαίρεση πάψει να λειτουργεί, συγκρίνετε τον αριθμητικό κανόνα και τους μετρητές με τη διεύθυνση που χρησιμοποίησε πραγματικά ο πελάτης. Αλλαγές DNS, διαφορετικές απαντήσεις του resolver και επιπλέον κεντρικοί υπολογιστές πόρων μπορούν να αφήσουν αυτή τη διεύθυνση έξω από τον παλιό κανόνα. Ο αντίστροφος κίνδυνος είναι μια διεύθυνση που μοιράζεται με άσχετες υπηρεσίες: μια εξαίρεση IP μπορεί να τις περιλάβει κι αυτές.
Ελέγξτε τη σειρά χωριστά. Μια παράκαμψη μετά από μια ήδη ταιριαστή ενέργεια υποκλοπής μπορεί να είναι πολύ αργά, αλλά η μετακίνησή της νωρίτερα δεν διατηρεί το σύνολο διευθύνσεών της.
| Απαιτούμενη εξαίρεση | Απαιτούμενη πολιτική |
|---|---|
| Να μην υποκλέπτονται συνδέσεις προς αυτούς τους δικτυακούς προορισμούς | Κανόνες δρομολόγησης πακέτων με κατάλληλη στρατηγική συντήρησης διευθύνσεων |
| Να επιτρέπεται σε αυτόν τον πελάτη να ζητά αυτά τα ονόματα μέσω Squid | ACL τομέων προορισμού σε επίπεδο αιτήματος συν περιορισμοί πελάτη και θύρας |
Μια άδεια του Squid κρατά το αίτημα μέσα στον proxy. Μια παράκαμψη του τείχους προστασίας το αφαιρεί από τη διαδρομή εξουσιοδότησης του Squid. Διαλέξτε συνειδητά ανάμεσά τους. Με το συνηθισμένο CONNECT, ακόμη και μια απόφαση proxy που γνωρίζει το όνομα κεντρικού υπολογιστή δεν αποκαλύπτει τη διαδρομή του κρυπτογραφημένου ιστότοπου, άρα δεν μπορεί από μόνη της να γίνει εξαίρεση διαδρομής σελίδας.