As regras de nome de anfitrião do iptables são instantâneos de DNS
Entenda por que uma exceção de nome de anfitrião no iptables pode deixar de corresponder a um site após mudanças de DNS e onde a política de domínio de um proxy direto difere.
Um nome de anfitrião num comando iptables é resolvido antes de a regra ser enviada. A regra do núcleo corresponde aos endereços resultantes; não repete DNS para cada pacote nem inspeciona nomes de anfitrião HTTP.
Quando uma exceção deixa de funcionar, compare a regra numérica e os contadores com o endereço que o cliente usou de facto. Mudanças de DNS, respostas diferentes do resolvedor e anfitriões de recursos adicionais podem deixar esse endereço fora da regra antiga. O risco inverso é um endereço partilhado com serviços não relacionados: uma exceção de IP também os pode incluir.
Verifique a ordem em separado. Um desvio depois de uma ação de interceção que já corresponde pode ser tarde demais, mas movê-lo mais cedo não mantém o seu conjunto de endereços.
| Exceção necessária | Política necessária |
|---|---|
| Não intercetar ligações para estes destinos de rede | Regras de encaminhamento de pacotes com uma estratégia adequada de manutenção de endereços |
| Permitir que este cliente peça estes nomes através do Squid | ACL de domínio de destino ao nível do pedido, mais restrições de cliente e de porta |
Uma autorização no Squid mantém o pedido dentro do proxy. Um desvio da firewall retira-o do caminho de autorização do Squid. Escolha deliberadamente entre ambos. Com CONNECT comum, nem uma decisão de proxy consciente do nome de anfitrião expõe o caminho cifrado do site, pelo que não pode por si só tornar-se uma exceção de caminho de página.