Las reglas de nombre de host de iptables son instantáneas de DNS
Entienda por qué una excepción de nombre de host en iptables puede dejar de coincidir con un sitio tras cambios de DNS y dónde difiere la política de dominios de un proxy directo.
Un nombre de host en un comando de iptables se resuelve antes de enviar la regla. La regla del núcleo coincide con las direcciones resultantes; no repite DNS para cada paquete ni inspecciona nombres de host HTTP.
Cuando una excepción deja de funcionar, compare la regla numérica y los contadores con la dirección que el cliente usó realmente. Los cambios de DNS, las respuestas distintas del resolutor y los hosts de recursos adicionales pueden dejar esa dirección fuera de la regla antigua. El riesgo inverso es una dirección compartida con servicios no relacionados: una excepción de IP también puede incluirlos.
Revise el orden por separado. Un bypass después de una acción de interceptación que ya coincide puede llegar tarde, pero moverlo antes no mantiene su conjunto de direcciones.
| Excepción necesaria | Política necesaria |
|---|---|
| No interceptar conexiones a estos destinos de red | Reglas de enrutamiento de paquetes con una estrategia adecuada de mantenimiento de direcciones |
| Permitir que este cliente solicite estos nombres a través de Squid | ACL de dominio de destino a nivel de solicitud más restricciones de cliente y puerto |
Un permiso de Squid mantiene la solicitud dentro del proxy. Un bypass del cortafuegos la saca de la ruta de autorización de Squid. Elija deliberadamente entre ambos. Con CONNECT normal, ni siquiera una decisión de proxy consciente del nombre de host revela la ruta cifrada del sitio, así que no puede por sí sola convertirse en una excepción de ruta de página.