Regulile iptables pentru nume de gazdă sunt instantanee DNS
Înțelegeți de ce o excepție iptables pentru nume de gazdă poate înceta să se potrivească unui site după modificări DNS și unde diferă politica de domenii a unui proxy direct.
Un nume de gazdă dintr-o comandă iptables este rezolvat înainte de trimiterea regulii. Regula nucleului corespunde adreselor rezultate; nu repetă DNS pentru fiecare pachet și nu inspectează nume de gazdă HTTP.
Când o excepție încetează să funcționeze, comparați regula numerică și contoarele cu adresa pe care clientul a folosit-o efectiv. Modificările DNS, răspunsurile diferite ale resolverului și gazdele de resurse suplimentare pot lăsa acea adresă în afara vechii reguli. Riscul invers este o adresă partajată cu servicii nelegate: o excepție IP le poate include și pe ele.
Verificați ordinea separat. O ocolire după o acțiune de interceptare care deja corespunde poate fi prea târzie, dar mutarea ei mai devreme nu menține setul de adrese.
| Excepție necesară | Politică necesară |
|---|---|
| Nu intercepta conexiunile către aceste destinații de rețea | Reguli de rutare a pachetelor cu o strategie adecvată de întreținere a adreselor |
| Permite acestui client să ceară aceste nume prin Squid | ACL-uri de domeniu destinație la nivel de cerere plus restricții de client și port |
O permisiune în Squid ține cererea în interiorul proxy-ului. O ocolire a firewall-ului o scoate din calea de autorizare a Squid. Alegeți în cunoștință de cauză între ele. Cu CONNECT obișnuit, chiar și o decizie a proxy-ului conștientă de numele de gazdă nu expune calea criptată a site-ului, deci nu poate deveni singură o excepție de cale de pagină.