iptablesi hostinimereeglid on DNS-i hetktõmmised
Mõistke, miks iptablesi hostinime erand võib pärast DNS-i muudatusi lõpetada saidiga sobimast, ja kus erineb edasimineva puhverserveri domeenipoliitika.
Hostinimi iptablesi käsus lahendatakse enne reegli esitamist. Kernelireegel sobib saadud aadressidega; see ei korda DNS-i iga paketi jaoks ega kontrolli HTTP hostinimesid.
Kui erand lakkab töötamast, võrrelge numbrilist reeglit ja loendureid aadressiga, mida klient tegelikult kasutas. DNS-i muudatused, erinevad lahendaja vastused ja täiendavad ressursihostid võivad jätta selle aadressi vanast reeglist välja. Vastupidine risk on aadress, mida jagatakse seotud teenustega: IP-erand võib hõlmata ka neid.
Kontrollige järjekorda eraldi. Möödaminek pärast juba sobivat püüdmistoimingut võib olla liiga hilja, kuid selle varasemaks liigutamine ei säilita aadresside hulka.
| Nõutav erand | Vajalik poliitika |
|---|---|
| Ärge püüdke ühendusi nende võrgusihtkohtadega | Paketiseire reeglid sobiva aadressihoolduse strateegiaga |
| Lubage sellel kliendil neid nimesid Squidi kaudu pärida | Päringutasandi sihtdomeeni ACL-id koos kliendi- ja pordipiirangutega |
Squidi luba hoiab päringu puhverserveri sees. Tulemüüri möödaminek eemaldab selle Squidi volitusrajalt. Valige nende vahel teadlikult. Tavalise CONNECT-i puhul ei paljasta isegi hostinime teadev puhverserveri otsus krüpteeritud saidi rada, seega ei saa see iseenesest leheküljeraja erandiks.