Aturan hostname iptables adalah cuplikan DNS
Pahami mengapa pengecualian hostname iptables bisa berhenti cocok dengan sebuah situs setelah perubahan DNS, dan di mana kebijakan domain proxy penerus berbeda.
Nama host dalam perintah iptables diselesaikan sebelum aturan dikirim. Aturan kernel cocok dengan alamat yang dihasilkan; aturan itu tidak mengulang DNS untuk setiap paket atau memeriksa nama host HTTP.
Ketika pengecualian berhenti bekerja, bandingkan aturan numerik dan penghitungnya dengan alamat yang benar-benar dipakai klien. Perubahan DNS, jawaban resolver yang berbeda, dan host sumber daya tambahan dapat membuat alamat itu berada di luar aturan lama. Risiko sebaliknya adalah alamat yang dipakai bersama layanan tak terkait: pengecualian IP bisa mencakup mereka juga.
Periksa urutannya secara terpisah. Lewatan setelah aksi penyadapan yang sudah cocok bisa terlambat, tetapi memindahkannya lebih awal tidak memelihara kumpulan alamatnya.
| Pengecualian yang diperlukan | Kebijakan yang dibutuhkan |
|---|---|
| Jangan menyadap koneksi ke tujuan jaringan ini | Aturan perutean paket dengan strategi pemeliharaan alamat yang sesuai |
| Izinkan klien ini meminta nama-nama ini melalui Squid | ACL domain tujuan tingkat permintaan plus pembatasan klien dan port |
Izin Squid menahan permintaan di dalam proxy. Lewatan firewall mengeluarkannya dari jalur otorisasi Squid. Pilih dengan sadar di antara keduanya. Dengan CONNECT biasa, bahkan keputusan proxy yang mengenali nama host tidak menyingkap jalur situs yang terenkripsi, jadi keputusan itu sendiri tidak bisa menjadi pengecualian jalur halaman.