Pravidlá názvov hostiteľov v iptables sú snímky DNS
Pochopte, prečo výnimka pre názov hostiteľa v iptables môže po zmenách DNS prestať zodpovedať webu a kde sa doménová politika doprednej proxy líši.
Názov hostiteľa v príkaze iptables sa preloží skôr, než sa pravidlo odošle. Pravidlo jadra zodpovedá výsledným adresám; neopakuje DNS pre každý paket ani neskúma názvy hostiteľov HTTP.
Keď výnimka prestane fungovať, porovnajte číselné pravidlo a počítadlá s adresou, ktorú klient skutočne použil. Zmeny DNS, rôzne odpovede prekladača a ďalší hostitelia prostriedkov môžu túto adresu nechať mimo starého pravidla. Opačným rizikom je adresa zdieľaná s nesúvisiacimi službami: výnimka pre IP môže zahrnúť aj ich.
Poradie kontrolujte zvlášť. Obchvat po už zodpovedajúcej akcii zachytenia môže byť príliš neskoro, ale jeho presunutie skôr neudržiava množinu adries.
| Požadovaná výnimka | Potrebná politika |
|---|---|
| Nezachytávať pripojenia k týmto sieťovým cieľom | Pravidlá smerovania paketov s vhodnou stratégiou údržby adries |
| Povoliť tomuto klientovi žiadať tieto názvy cez Squid | ACL cieľových domén na úrovni požiadavky plus obmedzenia klienta a portu |
Povolenie v Squide drží požiadavku vnútri proxy. Obchvat firewallu ju vyberá z autorizačnej cesty Squidu. Vyberajte vedome. Pri bežnom CONNECT ani rozhodnutie proxy, ktoré pozná názov hostiteľa, neodhalí cestu šifrovaného webu, takže sa samo nemôže stať výnimkou pre cestu stránky.