As regras de nome de host de iptables son instantáneas de DNS
Entenda por que unha excepción de nome de host en iptables pode deixar de coincidir cun sitio tras cambios de DNS e onde difire a política de dominios dun proxy directo.
Un nome de host nun comando de iptables resólvese antes de enviar a regra. A regra do núcleo coincide cos enderezos resultantes; non repite DNS para cada paquete nin inspecciona nomes de host HTTP.
Cando unha excepción deixa de funcionar, compare a regra numérica e os contadores co enderezo que o cliente usou realmente. Os cambios de DNS, as respostas distintas do resolutor e os hosts de recursos adicionais poden deixar ese enderezo fóra da regra antiga. O risco inverso é un enderezo compartido con servizos non relacionados: unha excepción de IP tamén pode incluílos.
Revise a orde por separado. Unha omisión despois dunha acción de interceptación que xa coincide pode chegar tarde, pero movela antes non mantén o seu conxunto de enderezos.
| Excepción necesaria | Política necesaria |
|---|---|
| Non interceptar conexións a estes destinos de rede | Regras de encamiñamento de paquetes cunha estratexia axeitada de mantemento de enderezos |
| Permitir que este cliente solicite estes nomes a través de Squid | ACL de dominio de destino a nivel de solicitude máis restricións de cliente e porto |
Un permiso de Squid mantén a solicitude dentro do proxy. Unha omisión do cortalumes sácaa da ruta de autorización de Squid. Escolla deliberadamente entre ambas. Con CONNECT normal, nin sequera unha decisión de proxy consciente do nome de host revela a ruta cifrada do sitio, así que non pode por si soa converterse nunha excepción de ruta de páxina.