iptables-reglur fyrir hýsitölur eru DNS-skyndimyndir
Skiljið hvers vegna iptables-undantekning fyrir hýsitölu getur hætt að passa við vefsvæði eftir DNS-breytingar og hvar léniðstefna framsendingarstaðgengils er önnur.
Hýsitala í iptables-skipun er leyst áður en reglan er send. Kjarnareglan passar við netföngin sem koma út; hún endurtekur ekki DNS fyrir hvert pakka og skoðar ekki HTTP-hýsitölur.
Þegar undantekning hættir að virka, berðu saman tölulegu regluna og teljarana við netfangið sem biðlarinn notaði í raun. DNS-breytingar, mismunandi svör leysirans og auknar auðlindahýsitölur geta skilið netfangið eftir utan við gömlu regluna. Öfug hættan er netfang sem er deilt með ótengdum þjónustum: IP-undantekning getur líka náð yfir þær.
Athugaðu röðina sérstaklega. Framhjáhlaup eftir afskurðaraðgerð sem passar þegar getur verið of seint, en að færa það fyrr viðheldur ekki netfangasafninu.
| Nauðsynleg undantekning | Nauðsynleg stefna |
|---|---|
| Afskerðu ekki tengingar við þessi netmarkmið | Reglur um pakkaleiðir með viðeigandi stefnu um viðhald netfanga |
| Leyfðu þessum biðlara að biðja um þessi nöfn í gegnum Squid | ACL fyrir áfangalén á beiðnistigi ásamt takmörkunum á biðlara og porti |
Squid-leyfi heldur beiðninni inni í staðgenglinum. Framhjáhlaup eldveggsins fjarlægir hana af heimildarleið Squid. Veldu af ásettu ráði á milli. Með venjulegu CONNECT afhjúpar jafnvel hýsitöluvitund staðgengilsákvörðun ekki dulkóðaða slóð vefsvæðisins, svo hún getur ekki ein og sér orðið undantekning fyrir síðuslóð.