iptables 호스트 이름 규칙은 DNS 스냅숏입니다
DNS가 바뀐 뒤 iptables 호스트 이름 예외가 사이트와 더 이상 일치하지 않을 수 있는 이유와, 포워드 프록시의 도메인 정책이 어디에서 다른지 알아봅니다.
iptables 명령의 호스트 이름은 규칙이 제출되기 전에 확인됩니다. 커널 규칙은 그 결과 주소와 일치하며, 패킷마다 DNS를 다시 조회하지도, HTTP 호스트 이름을 검사하지도 않습니다.
예외가 동작을 멈추면 숫자 규칙과 카운터를 클라이언트가 실제로 사용한 주소와 비교하세요. DNS 변경, 리졸버의 다른 응답, 추가 리소스 호스트 때문에 그 주소가 예전 규칙 밖으로 밀려날 수 있습니다. 반대 위험은 무관한 서비스와 공유된 주소입니다. IP 예외는 그 서비스까지 포함할 수 있습니다.
순서는 따로 확인하세요. 이미 일치하는 차단 동작 뒤에 둔 우회는 너무 늦을 수 있지만, 앞으로 옮겨도 주소 집합은 유지되지 않습니다.
| 필요한 예외 | 필요한 정책 |
|---|---|
| 이 네트워크 목적지로 가는 연결을 가로채지 않음 | 적절한 주소 유지 전략을 갖춘 패킷 라우팅 규칙 |
| 이 클라이언트가 Squid를 통해 이 이름들을 요청하도록 허용 | 요청 수준의 목적지 도메인 ACL과 클라이언트·포트 제한 |
Squid의 허용은 요청을 프록시 안에 붙잡아 둡니다. 방화벽 우회는 그 요청을 Squid의 인가 경로에서 빼냅니다. 둘 중 하나를 의도적으로 고르세요. 일반 CONNECT에서는 호스트 이름을 아는 프록시 판단이라도 암호화된 사이트 경로를 드러내지 않으므로, 그것만으로는 페이지 경로 예외가 될 수 없습니다.