Gastnomaj reguloj de iptables estas DNS-snapshot'oj
Komprenu kial iptables-gastnoma escepto povas ĉesi kongrui kun retejo post DNS-ŝanĝoj, kaj kie la domajna politiko de antaŭa prokurilo malsamas.
Gastnomo en iptables-komando estas solvata antaŭ ol la regulo estas sendata. La kernregulo kongruas kun la rezultaj adresoj; ĝi ne ripetas DNS por ĉiu paketo nek inspektas HTTP-gastnomojn.
Kiam escepto ĉesas funkcii, komparu la numeran regulon kaj la nombrilojn kun la adreso, kiun la kliento efektive uzis. DNS-ŝanĝoj, malsamaj respondoj de la solvilo kaj kromaj rimedgastoj povas lasi tiun adreson ekster la malnova regulo. La mala risko estas adreso kunhavata kun nerilataj servoj: IP-escepto povas inkluzivi ankaŭ ilin.
Kontrolu la ordon aparte. Ĉirkaŭiro post jam kongrua interkapta ago povas esti tro malfrua, sed movi ĝin pli frue ne konservas ĝian adresaron.
| Necesa escepto | Necesa politiko |
|---|---|
| Ne interkapti konektojn al ĉi tiuj retaj celoj | Paketvojoj-reguloj kun taŭga adresprizorga strategio |
| Permesi al ĉi tiu kliento peti ĉi tiujn nomojn tra Squid | Celdomajnaj ACL-oj je petnivelo plus klientaj kaj portaj limigoj |
Squid-permeso tenas la peton ene de la prokurilo. Fajroŝirma ĉirkaŭiro forigas ĝin el la rajtiga vojo de Squid. Elektu konscie inter ili. Ĉe ordinara CONNECT, eĉ gastnomkonscia prokurila decido ne malkaŝas la ĉifritan retejan vojon, do ĝi per si mem ne povas fariĝi paĝvoja escepto.