iptables xost nomi qoidalari DNS suratlaridir
DNS o'zgarishlaridan keyin iptables xost nomi istisnosining saytga mos kelishini nima uchun to'xtatishi mumkinligini va yo'naltiruvchi proksi domen siyosati qayerda farq qilishini tushuning.
iptables buyrug'idagi xost nomi qoida yuborilishidan oldin hal qilinadi. Yadro qoidasi kelib chiqqan manzillarga mos keladi; u har bir paket uchun DNSni takrorlamaydi va HTTP xost nomlarini tekshirmaydi.
Istisno ishlashdan to'xtaganda, raqamli qoida va hisoblagichlarni mijoz haqiqatda ishlatgan manzil bilan solishtiring. DNS o'zgarishlari, hal qiluvchining turli javoblari va qo'shimcha resurs xostlari bu manzilni eski qoidadan tashqarida qoldirishi mumkin. Teskari xavf — aloqasiz xizmatlar bilan bo'lishilgan manzil: IP istisnosi ularni ham qamrab olishi mumkin.
Tartibni alohida tekshiring. Allaqachon mos keladigan ushlab qolish amalidan keyingi chetlab o'tish juda kech bo'lishi mumkin, ammo uni oldinga ko'chirish manzillar to'plamini saqlamaydi.
| Kerakli istisno | Kerakli siyosat |
|---|---|
| Bu tarmoq manzillari tomon ulanishlarni ushlab qolmang | Manzillarni saqlash strategiyasi mos paketlarni marshrutlash qoidalari |
| Bu mijozga bu nomlarni Squid orqali so'rashga ruxsat bering | So'rov darajasidagi manzil domeni ACL hamda mijoz va port cheklovlari |
Squiddagi ruxsat so'rovni proksi ichida ushlab turadi. Tarmoq to'sig'ini chetlab o'tish uni Squid avtorizatsiya yo'lidan chiqaradi. Ikkalasi orasida ongli tanlov qiling. Oddiy CONNECT bilan xost nomini biladigan proksi qarori ham shifrlangan sayt yo'lini ochmaydi, shuning uchun u o'zi sahifa yo'li istisnosi bo'la olmaydi.