Rregullat e iptables për emra hostesh janë fotografi DNS
Kuptoni pse një përjashtim i emrit të hostit në iptables mund të ndalojë së përputhuri me një sajt pas ndryshimeve të DNS, dhe ku politika e domenit e një proxy përpara ndryshon.
Një emër hosti në një komandë iptables zgjidhet para se rregulli të dorëzohet. Rregulli i kernelit përputhet me adresat që rezultojnë; ai nuk e përsërit DNS për çdo paketë dhe nuk shqyrton emra hostesh HTTP.
Kur një përjashtim ndalon së funksionuari, krahasoni rregullin numerik dhe numëruesit me adresën që klienti përdori në të vërtetë. Ndryshimet e DNS, përgjigjet e ndryshme të zgjidhësit dhe hostet shtesë të burimeve mund ta lënë atë adresë jashtë rregullit të vjetër. Rreziku i kundërt është një adresë e përbashkët me shërbime të palidhura: një përjashtim IP mund t'i përfshijë edhe ato.
Kontrolloni renditjen veçmas. Një anashkalim pas një veprimi ndërprerjeje që tashmë përputhet mund të jetë shumë vonë, por zhvendosja më herët nuk e mirëmban grupin e adresave.
| Përjashtimi i nevojshëm | Politika e nevojshme |
|---|---|
| Mos i ndërprej lidhjet drejt këtyre destinacioneve të rrjetit | Rregulla të rrugëtimit të paketave me një strategji të përshtatshme mirëmbajtjeje adresash |
| Lejo këtë klient të kërkojë këta emra përmes Squid | ACL të domenit të destinacionit në nivel kërkese plus kufizime klienti dhe porte |
Një leje në Squid e mban kërkesën brenda proxy-t. Një anashkalim i firewall-it e nxjerr atë nga rruga e autorizimit të Squid. Zgjidhni me vetëdije midis të dyjave. Me CONNECT të zakonshëm, edhe një vendim proxy që njeh emrin e hostit nuk e zbulon rrugën e kriptuar të sajtit, prandaj nuk mund të bëhet vetë një përjashtim i rrugës së faqes.