Правила iptables с именами хостов — это снимки DNS
Поймите, почему исключение по имени хоста в iptables может перестать совпадать с сайтом после изменений DNS и где политика доменов прямого прокси отличается.
Имя хоста в команде iptables разрешается до отправки правила. Правило ядра сопоставляется с полученными адресами; оно не повторяет DNS для каждого пакета и не проверяет имена хостов HTTP.
Когда исключение перестаёт работать, сравните числовое правило и счётчики с адресом, который клиент действительно использовал. Изменения DNS, разные ответы резолвера и дополнительные хосты ресурсов могут оставить этот адрес за пределами старого правила. Обратный риск — адрес, общий с посторонними сервисами: исключение по IP может включить и их.
Порядок проверяйте отдельно. Обход после уже совпадающего действия перехвата может оказаться слишком поздним, но перенос его выше не сохраняет набор адресов.
| Требуемое исключение | Нужная политика |
|---|---|
| Не перехватывать соединения к этим сетевым назначениям | Правила маршрутизации пакетов с подходящей стратегией сопровождения адресов |
| Разрешить этому клиенту запрашивать эти имена через Squid | ACL доменов назначения на уровне запроса плюс ограничения по клиенту и порту |
Разрешение в Squid удерживает запрос внутри прокси. Обход межсетевого экрана убирает его из пути авторизации Squid. Выбирайте между ними осознанно. При обычном CONNECT даже решение прокси, знающего имя хоста, не раскрывает путь зашифрованного сайта, поэтому само по себе оно не может стать исключением для пути страницы.