iptables-hostnameregels zijn DNS-momentopnamen
Begrijp waarom een iptables-uitzondering voor een hostnaam na DNS-wijzigingen niet meer bij een site kan passen, en waar het domeinbeleid van een forward-proxy verschilt.
Een hostnaam in een iptables-opdracht wordt opgelost voordat de regel wordt ingediend. De kernelregel komt overeen met de resulterende adressen; hij herhaalt DNS niet voor elk pakket en inspecteert geen HTTP-hostnamen.
Als een uitzondering niet meer werkt, vergelijk dan de numerieke regel en de tellers met het adres dat de client werkelijk gebruikte. DNS-wijzigingen, andere antwoorden van de resolver en extra resource-hosts kunnen dat adres buiten de oude regel laten. Het omgekeerde risico is een adres dat met ongerelateerde diensten wordt gedeeld: een IP-uitzondering kan die ook omvatten.
Controleer de volgorde apart. Een omweg na een al overeenkomende onderscheppingsactie kan te laat zijn, maar hem eerder plaatsen onderhoudt de adressenset niet.
| Vereiste uitzondering | Benodigd beleid |
|---|---|
| Verbindingen naar deze netwerkbestemmingen niet onderscheppen | Pakketrouteringsregels met een passende strategie voor adresonderhoud |
| Deze client toestaan deze namen via Squid op te vragen | ACL's voor bestemmingsdomeinen op verzoekniveau plus beperkingen voor client en poort |
Een Squid-toestemming houdt het verzoek binnen de proxy. Een firewallomweg haalt het uit Squids autorisatiepad. Kies bewust tussen beide. Bij gewone CONNECT legt zelfs een hostnaambewuste proxybeslissing het versleutelde pad van de site niet bloot, dus kan die op zichzelf geen uitzondering voor het paginapad worden.