iptables-Hostname-Regelen sinn DNS-Schnappschëss
Verstitt firwat eng iptables-Hostname-Ausnam no DNS-Ännerungen ophéiere kann op eng Säit ze passen, a wou d'Domain-Politik vun engem Virwärtsproxy anescht ass.
En Hostname an engem iptables-Befehl gëtt opgeléist, ier d'Regel agereecht gëtt. D'Kernelregel entsprécht den Adressen déi doraus entstinn; si widderhëlt DNS net fir all Paket an iwwerpréift och keng HTTP-Hostnamen.
Wann eng Ausnam ophéiert ze funktionéieren, vergläicht d'numeresch Regel an d'Comptoiren mat der Adress, déi de Client tatsächlech benotzt huet. DNS-Ännerungen, ënnerschiddlech Äntwerten vum Resolver an zousätzlech Ressourcen-Hoste kënnen déi Adress baussent der aler Regel loossen. De Géigendeel-Risiko ass eng Adress, déi mat onverbonnen Servicer gedeelt gëtt: eng IP-Ausnam kann déi och enthalen.
Kontrolléiert d'Reiefolleg getrennt. En Ëmwee no enger Aktioun déi schonn entsprécht ka ze spéit sinn, awer e méi fréi ze réckelen erhält seng Adressemass net.
| Néideg Ausnam | Néideg Politik |
|---|---|
| Verbindungen zu dësen Netzwierkziler net offänken | Paketrouting-Regelen mat enger gëeegenter Strategie fir Adressen ze ënnerhalen |
| Erlaabt dësem Client dës Nimm iwwer Squid unzefroen | Zil-Domain-ACLen op Ufro-Niveau plus Restriktiounen fir Client a Port |
Eng Squid-Erlaabnes hält d'Ufro bannent dem Proxy. En Ëmwee iwwer d'Firewall hëlt se aus dem Autorisatiounswee vum Squid eraus. Wielt bewosst tëscht deenen zwou. Beim gewéinleche CONNECT weist och eng hostnamebewosst Proxy-Entscheedung de verschlësselte Wee vun der Säit net, dofir kann se eleng keng Ausnam fir de Säitewee ginn.