iptables-hostnameregels binne DNS-momentopnames
Begryp wêrom't in iptables-hostnamme-útsûndering nei DNS-wizigingen ophâlde kin te passen by in side, en wêr't it domeinbelied fan in foarútproxy ferskilt.
In hostnamme yn in iptables-opdracht wurdt oplost foardat de regel yntsjinne wurdt. De kernelregel past by de resultearjende adressen; hy werhellet DNS net foar elk pakket en ûndersiket gjin HTTP-hostnammen.
As in útsûndering ophâldt te wurkjen, fergelykje dan de numerike regel en de tellers mei it adres dat de klant echt brûkt hat. DNS-wizigingen, oare antwurden fan de oplosser en ekstra boarnhosts kinne dat adres bûten de âlde regel litte. It omkearde risiko is in adres dat dield wurdt mei net-ferbûne tsjinsten: in IP-útsûndering kin dy ek omfetsje.
Kontrolearje de folchoarder apart. In omgong nei in al passende ûnderskeppingsaksje kin te let wêze, mar it earder ferpleatsen hâldt de adresset net by.
| Fereaske útsûndering | Fereaske belied |
|---|---|
| Underbrek gjin ferbiningen nei dizze netwurkbestimmingen | Pakketrûteleasregels mei in geskikte adresûnderhâldstrategy |
| Lit dizze klant dizze nammen fia Squid oanfreegje | Bestimmingsdomein-ACL's op oanfraachnivo plus beheiningen foar klant en poarte |
In Squid-tastimming hâldt de oanfraach binnen de proxy. In firewall-omgong hellet dy út it autorisaasjepaad fan Squid. Kies bewust tusken beide. By gewoane CONNECT makket sels in hostnamme-bewuste proxybeslissing it fersifere sidepaad net sichtber, sadat it op himsels gjin útsûndering foar it sidepaad wurde kin.