Reguły iptables dla nazw hostów to migawki DNS
Zrozum, dlaczego wyjątek iptables dla nazwy hosta może przestać pasować do witryny po zmianach DNS i gdzie różni się polityka domenowa proxy przekazującego.
Nazwa hosta w poleceniu iptables jest rozwiązywana przed wysłaniem reguły. Reguła jądra pasuje do uzyskanych adresów; nie powtarza DNS dla każdego pakietu ani nie sprawdza nazw hostów HTTP.
Gdy wyjątek przestaje działać, porównaj regułę numeryczną i liczniki z adresem, którego klient faktycznie użył. Zmiany DNS, różne odpowiedzi resolvera i dodatkowe hosty zasobów mogą pozostawić ten adres poza starą regułą. Odwrotnym ryzykiem jest adres współdzielony z niepowiązanymi usługami: wyjątek IP może objąć także je.
Kolejność sprawdź osobno. Obejście po już pasującej akcji przechwytywania może być zbyt późne, ale przeniesienie go wcześniej nie utrzymuje jego zbioru adresów.
| Wymagany wyjątek | Wymagana polityka |
|---|---|
| Nie przechwytuj połączeń do tych celów sieciowych | Reguły routingu pakietów z odpowiednią strategią utrzymania adresów |
| Zezwól temu klientowi żądać tych nazw przez Squid | ACL domen docelowych na poziomie żądania oraz ograniczenia klienta i portu |
Zezwolenie w Squidzie trzyma żądanie wewnątrz proxy. Obejście zapory usuwa je ze ścieżki autoryzacji Squida. Wybieraj świadomie między nimi. Przy zwykłym CONNECT nawet decyzja proxy świadoma nazwy hosta nie ujawnia zaszyfrowanej ścieżki witryny, więc sama nie może stać się wyjątkiem ścieżki strony.