iptablesのホスト名ルールはDNSのスナップショット
DNS変更後にiptablesのホスト名例外がサイトと一致しなくなる理由と、フォワードプロキシのドメインポリシーがどこで異なるかを理解します。
iptablesコマンド内のホスト名は、ルールが送信される前に解決されます。カーネルのルールはその結果のアドレスに一致し、パケットごとにDNSを繰り返すことも、HTTPホスト名を検査することもありません。
例外が効かなくなったら、数値のルールとカウンターを、クライアントが実際に使ったアドレスと比べてください。DNSの変更、リゾルバーの異なる応答、追加のリソースホストによって、そのアドレスは古いルールの外に置かれることがあります。逆のリスクは、無関係なサービスと共有されたアドレスです。IP例外はそれらも含めてしまうことがあります。
順序は別に確認してください。すでに一致している傍受アクションの後ろに置いたバイパスは遅すぎることがありますが、前へ移してもそのアドレス集合は維持されません。
| 必要な例外 | 必要なポリシー |
|---|---|
| これらのネットワーク宛先への接続を傍受しない | 適切なアドレス維持戦略を伴うパケットルーティングルール |
| このクライアントがSquid経由でこれらの名前を要求できるようにする | 要求レベルの宛先ドメインACLとクライアント・ポートの制限 |
Squidの許可は要求をプロキシ内に留めます。ファイアウォールのバイパスはそれをSquidの認可経路から外します。両者のどちらかを意図的に選んでください。通常のCONNECTでは、ホスト名を意識したプロキシの判断でも暗号化されたサイトの経路は見えないため、それ自体がページ経路の例外になることはできません。