iptables-verteregler er DNS-øyeblikksbilder
Forstå hvorfor et iptables-unntak for vertsnavn kan slutte å treffe et nettsted etter DNS-endringer, og hvor en videresendende proxys domenepolicy er annerledes.
Et vertsnavn i en iptables-kommando slås opp før regelen sendes. Kjerneregelen treffer adressene som kommer ut; den gjentar ikke DNS for hver pakke og undersøker ikke HTTP-vertsnavn.
Når et unntak slutter å virke, sammenlign den numeriske regelen og tellerne med adressen klienten faktisk brukte. DNS-endringer, ulike svar fra oppløseren og ekstra ressursverter kan la den adressen ligge utenfor den gamle regelen. Den motsatte risikoen er en adresse som deles med urelaterte tjenester: et IP-unntak kan også omfatte dem.
Kontroller rekkefølgen separat. En omgåelse etter en allerede treffende avskjæringshandling kan være for sen, men å flytte den tidligere opprettholder ikke adressesettet.
| Påkrevd unntak | Nødvendig policy |
|---|---|
| Ikke avskjær tilkoblinger til disse nettverksdestinasjonene | Pakkerutingsregler med en egnet strategi for adressevedlikehold |
| La denne klienten be om disse navnene gjennom Squid | ACL-er for destinasjonsdomener på forespørselsnivå pluss begrensninger for klient og port |
En Squid-tillatelse holder forespørselen inne i proxyen. En brannmur-omgåelse fjerner den fra Squids autorisasjonssti. Velg bevisst mellom dem. Med vanlig CONNECT avdekker selv en vertsnavnbevisst proxybeslutning ikke den krypterte nettstedstien, så den kan ikke alene bli et unntak for sidestien.