iptables värdnamnsregler är DNS-ögonblicksbilder
Förstå varför ett iptables-undantag för värdnamn kan sluta matcha en webbplats efter DNS-ändringar, och var en vidarebefordrande proxys domänpolicy skiljer sig.
Ett värdnamn i ett iptables-kommando slås upp innan regeln skickas. Kärnregeln matchar de resulterande adresserna; den upprepar inte DNS för varje paket och granskar inte HTTP-värdnamn.
När ett undantag slutar fungera, jämför den numeriska regeln och räknarna med den adress som klienten faktiskt använde. DNS-ändringar, olika svar från resolvern och extra resursvärdar kan lämna den adressen utanför den gamla regeln. Den omvända risken är en adress som delas med orelaterade tjänster: ett IP-undantag kan omfatta dem också.
Kontrollera ordningen separat. En kringgång efter en redan matchande avlyssningsåtgärd kan vara för sen, men att flytta den tidigare upprätthåller inte dess adressmängd.
| Nödvändigt undantag | Nödvändig policy |
|---|---|
| Fånga inte upp anslutningar till dessa nätverksdestinationer | Paketdirigeringsregler med en lämplig strategi för adressunderhåll |
| Tillåt denna klient att begära dessa namn via Squid | ACL:er för destinationsdomäner på begäranivå plus begränsningar för klient och port |
Ett Squid-tillstånd håller begäran inne i proxyn. En brandväggskringgång tar bort den från Squids auktoriseringsväg. Välj medvetet mellan dem. Med vanlig CONNECT avslöjar inte ens ett värdnamnsmedvetet proxybeslut webbplatsens krypterade väg, så det kan inte i sig bli ett undantag för sidvägen.