กฎชื่อโฮสต์ของ iptables คือภาพนิ่งของ DNS
ทำความเข้าใจว่าทำไมข้อยกเว้นชื่อโฮสต์ใน iptables อาจเลิกตรงกับเว็บไซต์หลังการเปลี่ยนแปลง DNS และนโยบายโดเมนของพร็อกซีส่งต่อแตกต่างตรงไหน
ชื่อโฮสต์ในคำสั่ง iptables จะถูกแปลงก่อนที่กฎจะถูกส่งไป กฎของเคอร์เนลตรงกับที่อยู่ที่ได้มา มันไม่ทำ DNS ซ้ำสำหรับทุกแพ็กเก็ตและไม่ตรวจชื่อโฮสต์ HTTP
เมื่อข้อยกเว้นเลิกทำงาน ให้เทียบกฎตัวเลขและตัวนับกับที่อยู่ที่ไคลเอนต์ใช้จริง การเปลี่ยนแปลง DNS คำตอบที่แตกต่างจากตัวแปลงชื่อ และโฮสต์ทรัพยากรเพิ่มเติมอาจทำให้ที่อยู่นั้นอยู่นอกกฎเดิม ความเสี่ยงตรงข้ามคือที่อยู่ที่ใช้ร่วมกับบริการที่ไม่เกี่ยวข้อง ข้อยกเว้นแบบ IP อาจรวมบริการเหล่านั้นด้วย
ตรวจลำดับแยกต่างหาก การข้ามหลังการกระทำดักจับที่ตรงอยู่แล้วอาจสายเกินไป แต่การย้ายไปก่อนหน้าไม่ได้รักษาชุดที่อยู่ของมัน
| ข้อยกเว้นที่จำเป็น | นโยบายที่ต้องใช้ |
|---|---|
| อย่าดักจับการเชื่อมต่อไปยังปลายทางเครือข่ายเหล่านี้ | กฎการกำหนดเส้นทางแพ็กเก็ตพร้อมกลยุทธ์ดูแลที่อยู่ที่เหมาะสม |
| อนุญาตให้ไคลเอนต์นี้ขอชื่อเหล่านี้ผ่าน Squid | ACL โดเมนปลายทางระดับคำขอ พร้อมข้อจำกัดของไคลเอนต์และพอร์ต |
การอนุญาตใน Squid เก็บคำขอไว้ในพร็อกซี การข้ามไฟร์วอลล์ดึงมันออกจากเส้นทางการอนุญาตของ Squid เลือกระหว่างสองอย่างนี้อย่างตั้งใจ ด้วย CONNECT ปกติ แม้การตัดสินใจของพร็อกซีที่รู้ชื่อโฮสต์ก็ไม่เปิดเผยเส้นทางเว็บไซต์ที่เข้ารหัส จึงไม่อาจกลายเป็นข้อยกเว้นของเส้นทางหน้าได้ด้วยตัวเอง