Правила iptables з іменами хостів — це знімки DNS
Зрозумійте, чому виняток за іменем хоста в iptables може перестати збігатися із сайтом після змін DNS і де політика доменів прямого проксі відрізняється.
Ім'я хоста в команді iptables розв'язується до надсилання правила. Правило ядра зіставляється з отриманими адресами; воно не повторює DNS для кожного пакета і не перевіряє імена хостів HTTP.
Коли виняток перестає працювати, порівняйте числове правило та лічильники з адресою, яку клієнт справді використав. Зміни DNS, різні відповіді резолвера й додаткові хости ресурсів можуть залишити цю адресу поза старим правилом. Зворотний ризик — адреса, спільна зі сторонніми службами: виняток за IP може охопити й їх.
Порядок перевіряйте окремо. Обхід після вже відповідної дії перехоплення може бути запізнім, але перенесення його вище не зберігає набір адрес.
| Потрібний виняток | Потрібна політика |
|---|---|
| Не перехоплювати з'єднання до цих мережевих призначень | Правила маршрутизації пакетів із належною стратегією супроводу адрес |
| Дозволити цьому клієнту запитувати ці імена через Squid | ACL доменів призначення на рівні запиту плюс обмеження клієнта й порту |
Дозвіл у Squid утримує запит усередині проксі. Обхід міжмережевого екрана вилучає його зі шляху авторизації Squid. Обирайте між ними усвідомлено. За звичайного CONNECT навіть рішення проксі, що знає ім'я хоста, не розкриває шлях зашифрованого сайту, тож саме собою воно не може стати винятком для шляху сторінки.