iptables-vertnamnreglar er DNS-augeblinksbilete
Forstå kvifor eit iptables-unntak for vertnamn kan slutte å treffe ein nettstad etter DNS-endringar, og kvar domenepolitikken til ein videresendande proxy er annleis.
Eit vertnamn i ein iptables-kommando blir løyst opp før regelen blir send. Kjerneregelen treffer adressene som kjem ut; han gentek ikkje DNS for kvar pakke og granskar ikkje HTTP-vertnamn.
Når eit unntak sluttar å verke, samanlikn den numeriske regelen og teljarane med adressa klienten faktisk brukte. DNS-endringar, ulike svar frå oppløysaren og ekstra ressursvertar kan la den adressa liggje utanfor den gamle regelen. Den motsette risikoen er ei adresse som blir delt med urelaterte tenester: eit IP-unntak kan òg omfatte dei.
Kontroller rekkjefølgja separat. Ei omgåing etter ei allereie treffande avskjeringshandling kan vere for sein, men å flytte ho tidlegare held ikkje ved like adressesettet.
| Påkravd unntak | Naudsynleg politikk |
|---|---|
| Ikkje avskjer tilkoplingar til desse nettverksmåla | Pakkerutingsreglar med ein høveleg strategi for adressevedlikehald |
| La denne klienten be om desse namna gjennom Squid | ACL-ar for målområde på førespurnadsnivå pluss avgrensingar for klient og port |
Ei Squid-løyve held førespurnaden inne i proxyen. Ei brannmur-omgåing tek han ut av autorisasjonsvegen til Squid. Vel medvite mellom dei. Med vanleg CONNECT avdekkjer sjølv ei vertnamnmedviten proxyavgjerd ikkje den krypterte nettstadsvegen, så ho kan ikkje åleine bli eit unntak for sidevegen.