Le regole iptables per nome host sono istantanee DNS
Capite perché un'eccezione iptables per nome host può smettere di corrispondere a un sito dopo cambi DNS e dove la politica di dominio di un proxy in avanti differisce.
Un nome host in un comando iptables viene risolto prima che la regola sia inviata. La regola del kernel corrisponde agli indirizzi risultanti; non ripete il DNS per ogni pacchetto né esamina i nomi host HTTP.
Quando un'eccezione smette di funzionare, confrontate la regola numerica e i contatori con l'indirizzo che il client ha realmente usato. Cambi DNS, risposte diverse del resolver e host di risorse aggiuntivi possono lasciare quell'indirizzo fuori dalla vecchia regola. Il rischio opposto è un indirizzo condiviso con servizi non correlati: un'eccezione IP può includerli anch'essi.
Verificate l'ordine separatamente. Un bypass dopo un'azione di intercettazione già corrispondente può arrivare troppo tardi, ma spostarlo prima non mantiene il suo insieme di indirizzi.
| Eccezione necessaria | Politica necessaria |
|---|---|
| Non intercettare le connessioni verso queste destinazioni di rete | Regole di instradamento dei pacchetti con una strategia adeguata di mantenimento degli indirizzi |
| Consentire a questo client di richiedere questi nomi tramite Squid | ACL di dominio di destinazione a livello di richiesta più restrizioni di client e porta |
Un'autorizzazione Squid tiene la richiesta dentro il proxy. Un bypass del firewall la toglie dal percorso di autorizzazione di Squid. Scegliete deliberatamente tra i due. Con CONNECT ordinario, nemmeno una decisione del proxy consapevole del nome host espone il percorso cifrato del sito, quindi non può da sola diventare un'eccezione di percorso di pagina.