Ang mga patakaran ng pangalan ng host sa iptables ay mga snapshot ng DNS
Unawain kung bakit ang pagbubukod ng pangalan ng host sa iptables ay maaaring tumigil sa pagtugma sa isang site pagkatapos ng mga pagbabago sa DNS, at saan naiiba ang patakaran sa domain ng pasulong na proxy.
Ang pangalan ng host sa isang utos ng iptables ay nireresolba bago ipadala ang patakaran. Ang patakaran ng kernel ay tumutugma sa mga resultang address; hindi nito inuulit ang DNS para sa bawat packet o sinusuri ang mga pangalan ng host ng HTTP.
Kapag tumigil sa paggana ang isang pagbubukod, ihambing ang numerong patakaran at mga counter sa address na aktuwal na ginamit ng kliyente. Ang mga pagbabago sa DNS, magkaibang sagot ng tagapagresolba at karagdagang host ng mapagkukunan ay maaaring mag-iwan sa address na iyon sa labas ng lumang patakaran. Ang kabaliktarang panganib ay isang address na ibinabahagi sa mga walang kaugnayang serbisyo: maaaring isama rin ng isang pagbubukod na IP ang mga iyon.
Suriin nang hiwalay ang pagkakasunod-sunod. Ang paglampas pagkatapos ng aksyong pagsamsam na tumutugma na ay maaaring huli na, ngunit ang ilipat ito nang mas maaga ay hindi nagpapanatili ng set ng address nito.
| Kinakailangang pagbubukod | Kinakailangang patakaran |
|---|---|
| Huwag harangin ang mga koneksyon sa mga destinasyong ito ng network | Mga patakaran sa pagruruta ng packet na may angkop na estratehiya sa pagpapanatili ng address |
| Pahintulutan ang kliyenteng ito na humiling ng mga pangalang ito sa pamamagitan ng Squid | Mga ACL ng destinasyong domain sa antas ng kahilingan kasama ang mga paghihigpit sa kliyente at port |
Ang pahintulot sa Squid ay nagpapanatili ng kahilingan sa loob ng proxy. Ang paglampas sa firewall ay nag-aalis nito mula sa landas ng awtorisasyon ng Squid. Pumili nang sadya sa pagitan ng dalawa. Sa ordinaryong CONNECT, kahit ang desisyon ng proxy na may kamalayan sa pangalan ng host ay hindi naglalantad ng naka-encrypt na landas ng site, kaya hindi ito maaaring maging pagbubukod sa landas ng pahina nang mag-isa.