Các quy tắc tên máy chủ của iptables là ảnh chụp DNS
Hiểu vì sao một ngoại lệ tên máy chủ trong iptables có thể ngừng khớp với một trang sau khi DNS thay đổi, và chính sách tên miền của proxy chuyển tiếp khác ở đâu.
Tên máy chủ trong lệnh iptables được phân giải trước khi quy tắc được gửi đi. Quy tắc của nhân khớp với các địa chỉ tạo ra; nó không lặp lại DNS cho từng gói và không kiểm tra tên máy chủ HTTP.
Khi một ngoại lệ ngừng hoạt động, hãy so sánh quy tắc số và các bộ đếm với địa chỉ mà máy khách thực sự đã dùng. Thay đổi DNS, các câu trả lời khác nhau của trình phân giải và các máy chủ tài nguyên bổ sung có thể để địa chỉ đó nằm ngoài quy tắc cũ. Rủi ro ngược lại là một địa chỉ dùng chung với các dịch vụ không liên quan: ngoại lệ IP cũng có thể bao gồm chúng.
Hãy kiểm tra thứ tự riêng. Một bước bỏ qua đặt sau hành động chặn đã khớp có thể là quá muộn, nhưng chuyển nó lên trước không duy trì tập địa chỉ của nó.
| Ngoại lệ cần thiết | Chính sách cần thiết |
|---|---|
| Không chặn các kết nối đến những đích mạng này | Quy tắc định tuyến gói với chiến lược duy trì địa chỉ phù hợp |
| Cho phép máy khách này yêu cầu những tên này qua Squid | ACL tên miền đích ở cấp yêu cầu cùng các giới hạn về máy khách và cổng |
Một sự cho phép trong Squid giữ yêu cầu bên trong proxy. Một bước bỏ qua tường lửa đưa nó ra khỏi đường cấp quyền của Squid. Hãy chọn có chủ đích giữa hai cách. Với CONNECT thông thường, ngay cả quyết định của proxy có biết tên máy chủ cũng không lộ đường dẫn đã mã hóa của trang, nên tự nó không thể trở thành ngoại lệ cho đường dẫn trang.