Peraturan nama hos iptables ialah petikan DNS
Fahami mengapa pengecualian nama hos iptables boleh berhenti sepadan dengan sesebuah laman selepas perubahan DNS, dan di mana dasar domain proksi hadapan berbeza.
Nama hos dalam arahan iptables diselesaikan sebelum peraturan dihantar. Peraturan kernel sepadan dengan alamat yang terhasil; ia tidak mengulangi DNS bagi setiap paket atau memeriksa nama hos HTTP.
Apabila pengecualian berhenti berfungsi, bandingkan peraturan berangka dan pembilang dengan alamat yang benar-benar digunakan oleh klien. Perubahan DNS, jawapan penyelesai yang berbeza dan hos sumber tambahan boleh meninggalkan alamat itu di luar peraturan lama. Risiko sebaliknya ialah alamat yang dikongsi dengan perkhidmatan tidak berkaitan: pengecualian IP boleh merangkumi mereka juga.
Periksa susunan secara berasingan. Lencongan selepas tindakan pemintasan yang sudah sepadan mungkin terlalu lewat, tetapi memindahkannya lebih awal tidak mengekalkan set alamatnya.
| Pengecualian yang diperlukan | Dasar yang diperlukan |
|---|---|
| Jangan pintas sambungan ke destinasi rangkaian ini | Peraturan penghalaan paket dengan strategi penyelenggaraan alamat yang sesuai |
| Benarkan klien ini meminta nama-nama ini melalui Squid | ACL domain destinasi peringkat permintaan serta sekatan klien dan port |
Kebenaran Squid menahan permintaan di dalam proksi. Lencongan firewall mengeluarkannya daripada laluan kebenaran Squid. Pilih dengan sedar antara keduanya. Dengan CONNECT biasa, malah keputusan proksi yang mengenali nama hos tidak mendedahkan laluan laman yang disulitkan, jadi ia tidak boleh dengan sendirinya menjadi pengecualian laluan halaman.